Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:01:53, on 3.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe
D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe
D:\Program Files\Eset\nod32kui.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
D:\Program Files\TC PowerPack\totalcmd.exe
D:\Program Files\Maxthon\Maxthon.exe
C:\install\antispy\HiJackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Net Snippets - {67970B26-F57D-4455-8262-81C3AE3B8B5E} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] D:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Net Snippets - D:\PROGRA~1\NETSNI~1\Res\Clipper.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Přizpůsobit Menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF Nástrojová lišta - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Uložit formuláře - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Vyplnit formulář - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Uložit - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Uložit formuláře - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Snippets - {7130DF06-BBC1-4e16-83D4-1F875E65B695} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Nástrojová lišta - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0A6112F2-F9D1-4FBF-A6EC-B67B22915873} (FotoStarUploader Control) - http://foto.droxi.cz/snadno-vlozit-foto ... loader.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: D:\WINDOWS\system32\win_r.dll D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: Plug and Play PlugPlayEventSystem (PlugPlayEventSystem) - Unknown owner - D:\WINDOWS\system32\msdnc1.exe
O23 - Service: SmartLinkService (SLService) - - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe
--
End of file - 6714 bytes
Prosim o kontrolu logu - napadeni trojanem
Prosim o kontrolu logu - napadeni trojanem
Naposledy upravil(a) petrjur dne 06 říj 2007 19:53, celkem upraveno 1 x.
-
fredik
- člen Security týmu
-
Master Level 7
- Příspěvky: 4680
- Registrován: červenec 06
- Pohlaví:
- Stav:
Offline
Stáhni si SDFix
- Spusť ho a rozbalí se ti na disk kde je nainstalovaný Windows (typicky to je C:\SDfix)
- Pak restartuj PC do nouzového režimu (zvol možnost: Stav nouze, ne Stav nouze s práci v síti)
- Otevři adresář kde je vybalený SDFix a spusť soubor RunThis.bat tím spustíš program.
* Pak stiskni klávesu Y a pak Enter pro zahájení čistícího procesu.
* Pro dokončení kontroly budeš vyzván ke stisknoutí libovolné klávesy a počítač se restartuje.
* Při nabíhání operačního systému se program spustí znovu a dokončí čistící proces. Až se objeví Finish, budeš muset po vyzvání stisknout libovolnou klávesu, tim se ukončí program a zobrazí se ti ikony na ploše
- Když se skončí načítání ikon na ploše, otevře se ti na obrazovce log z SDFix a zároveň ho uloží do adresáře kde je rozbalený SDFix jako soubor Report.txt
Pak sem zkopíruj jeho obsah. + nový log z HJT.
- Spusť ho a rozbalí se ti na disk kde je nainstalovaný Windows (typicky to je C:\SDfix)
- Pak restartuj PC do nouzového režimu (zvol možnost: Stav nouze, ne Stav nouze s práci v síti)
- Otevři adresář kde je vybalený SDFix a spusť soubor RunThis.bat tím spustíš program.
* Pak stiskni klávesu Y a pak Enter pro zahájení čistícího procesu.
* Pro dokončení kontroly budeš vyzván ke stisknoutí libovolné klávesy a počítač se restartuje.
* Při nabíhání operačního systému se program spustí znovu a dokončí čistící proces. Až se objeví Finish, budeš muset po vyzvání stisknout libovolnou klávesu, tim se ukončí program a zobrazí se ti ikony na ploše
- Když se skončí načítání ikon na ploše, otevře se ti na obrazovce log z SDFix a zároveň ho uloží do adresáře kde je rozbalený SDFix jako soubor Report.txt
Pak sem zkopíruj jeho obsah. + nový log z HJT.
tak tady to je.
SDFix: Version 1.107
Run by Administrator on st 03.10.2007 at 21:51
Microsoft Windows XP [Verze 5.1.2600]
Running From: D:\SDFix
Safe Mode:
Checking Services:
Restoring Windows Registry Values
Restoring Windows Default Hosts File
Rebooting...
Normal Mode:
Checking Files:
Trojan Files Found:
D:\WINDOWS\system32\msdnc1.exe - Deleted
D:\WINDOWS\system32\msdnc2.exe - Deleted
D:\WINDOWS\system32\msdnc3.exe - Deleted
Removing Temp Files...
ADS Check:
D:\WINDOWS
No streams found.
D:\WINDOWS\system32
No streams found.
D:\WINDOWS\system32\svchost.exe
No streams found.
D:\WINDOWS\system32\ntoskrnl.exe
No streams found.
Final Check:
Remaining Services:
------------------
Authorized Application Key Export:
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"D:\\Program Files\\Maxthon\\privet.exe"="D:\\Program Files\\Maxthon\\privet.exe:*:Enabled:Enabled"
"D:\\DOCUME~1\\SLUNICKO\\LOCALS~1\\Temp\\3.exe"="D:\\DOCUME~1\\SLUNICKO\\LOCALS~1\\Temp\\3.exe:*:Enabled:Enabled"
"D:\\Program Files\\Shareaza\\Shareaza.exe"="D:\\Program Files\\Shareaza\\Shareaza.exe:*:Enabled:Shareaza"
"D:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\HP1005MC.EXE"="D:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\HP1005MC.EXE:*:Enabled:SMLMProxy Module - HP1005MC.EXE"
"D:\\Program Files\\Skype\\Phone\\Skype.exe"="D:\\Program Files\\Skype\\Phone\\Skype.exe:*:Enabled:Skype"
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
Remaining Files:
---------------
File Backups: - D:\SDFix\backups\backups.zip
Files with Hidden Attributes:
Sun 19 Aug 2007 88 ..SHR --- "D:\WINDOWS\system32\8DCE2186B8.sys"
Sun 19 Aug 2007 1,682 A.SH. --- "D:\WINDOWS\system32\KGyGaAvL.sys"
Mon 7 May 2007 11,264 ...HR --- "D:\WINDOWS\system32\systr.exe"
Thu 13 Jul 2006 4,348 ..SH. --- "D:\Documents and Settings\All Users\DRM\DRMv1.bak"
Finished!
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:04:32, on 3.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\wscntfy.exe
D:\WINDOWS\system32\wuauclt.exe
D:\WINDOWS\system32\notepad.exe
D:\Program Files\Eset\nod32kui.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
D:\Program Files\Maxthon\Maxthon.exe
D:\Program Files\TC PowerPack\totalcmd.exe
C:\install\antispy\HiJackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Net Snippets - {67970B26-F57D-4455-8262-81C3AE3B8B5E} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] D:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Net Snippets - D:\PROGRA~1\NETSNI~1\Res\Clipper.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Přizpůsobit Menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF Nástrojová lišta - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Uložit formuláře - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Vyplnit formulář - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Uložit - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Uložit formuláře - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Snippets - {7130DF06-BBC1-4e16-83D4-1F875E65B695} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Nástrojová lišta - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0A6112F2-F9D1-4FBF-A6EC-B67B22915873} (FotoStarUploader Control) - http://foto.droxi.cz/snadno-vlozit-foto ... loader.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: D:\WINDOWS\system32\win_r.dll D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: Plug and Play PlugPlayEventSystem (PlugPlayEventSystem) - Unknown owner - D:\WINDOWS\system32\msdnc1.exe (file missing)
O23 - Service: SmartLinkService (SLService) - - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe
--
End of file - 6609 bytes
SDFix: Version 1.107
Run by Administrator on st 03.10.2007 at 21:51
Microsoft Windows XP [Verze 5.1.2600]
Running From: D:\SDFix
Safe Mode:
Checking Services:
Restoring Windows Registry Values
Restoring Windows Default Hosts File
Rebooting...
Normal Mode:
Checking Files:
Trojan Files Found:
D:\WINDOWS\system32\msdnc1.exe - Deleted
D:\WINDOWS\system32\msdnc2.exe - Deleted
D:\WINDOWS\system32\msdnc3.exe - Deleted
Removing Temp Files...
ADS Check:
D:\WINDOWS
No streams found.
D:\WINDOWS\system32
No streams found.
D:\WINDOWS\system32\svchost.exe
No streams found.
D:\WINDOWS\system32\ntoskrnl.exe
No streams found.
Final Check:
Remaining Services:
------------------
Authorized Application Key Export:
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"D:\\Program Files\\Maxthon\\privet.exe"="D:\\Program Files\\Maxthon\\privet.exe:*:Enabled:Enabled"
"D:\\DOCUME~1\\SLUNICKO\\LOCALS~1\\Temp\\3.exe"="D:\\DOCUME~1\\SLUNICKO\\LOCALS~1\\Temp\\3.exe:*:Enabled:Enabled"
"D:\\Program Files\\Shareaza\\Shareaza.exe"="D:\\Program Files\\Shareaza\\Shareaza.exe:*:Enabled:Shareaza"
"D:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\HP1005MC.EXE"="D:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\HP1005MC.EXE:*:Enabled:SMLMProxy Module - HP1005MC.EXE"
"D:\\Program Files\\Skype\\Phone\\Skype.exe"="D:\\Program Files\\Skype\\Phone\\Skype.exe:*:Enabled:Skype"
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
Remaining Files:
---------------
File Backups: - D:\SDFix\backups\backups.zip
Files with Hidden Attributes:
Sun 19 Aug 2007 88 ..SHR --- "D:\WINDOWS\system32\8DCE2186B8.sys"
Sun 19 Aug 2007 1,682 A.SH. --- "D:\WINDOWS\system32\KGyGaAvL.sys"
Mon 7 May 2007 11,264 ...HR --- "D:\WINDOWS\system32\systr.exe"
Thu 13 Jul 2006 4,348 ..SH. --- "D:\Documents and Settings\All Users\DRM\DRMv1.bak"
Finished!
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:04:32, on 3.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\wscntfy.exe
D:\WINDOWS\system32\wuauclt.exe
D:\WINDOWS\system32\notepad.exe
D:\Program Files\Eset\nod32kui.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
D:\Program Files\Maxthon\Maxthon.exe
D:\Program Files\TC PowerPack\totalcmd.exe
C:\install\antispy\HiJackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Net Snippets - {67970B26-F57D-4455-8262-81C3AE3B8B5E} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] D:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Net Snippets - D:\PROGRA~1\NETSNI~1\Res\Clipper.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Přizpůsobit Menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF Nástrojová lišta - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Uložit formuláře - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Vyplnit formulář - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Uložit - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Uložit formuláře - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Snippets - {7130DF06-BBC1-4e16-83D4-1F875E65B695} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Nástrojová lišta - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0A6112F2-F9D1-4FBF-A6EC-B67B22915873} (FotoStarUploader Control) - http://foto.droxi.cz/snadno-vlozit-foto ... loader.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: D:\WINDOWS\system32\win_r.dll D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: Plug and Play PlugPlayEventSystem (PlugPlayEventSystem) - Unknown owner - D:\WINDOWS\system32\msdnc1.exe (file missing)
O23 - Service: SmartLinkService (SLService) - - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe
--
End of file - 6609 bytes
-
fredik
- člen Security týmu
-
Master Level 7
- Příspěvky: 4680
- Registrován: červenec 06
- Pohlaví:
- Stav:
Offline
Spusť znovu HijackThis a zaškrtni v něm okénka před řádky:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
po zaškrtnutí klikni na tlačítko Fix Checked
Jdi přes Start -> Spustit... otevře se ti okno kde do volného řádku napiš/zkopíruj postupně příkazy označené tučně:
sc stop PlugPlayEventSystem
klikni buď na tlačítko OK nebo dej Enter
pak tam zkopíruj tento příkaz
sc delete PlugPlayEventSystem
a zase buď klikni na tlačítko OK nebo dej Enter
Restartuj PC.
Nech zkontrolovat tady tyto dva soubory na Virustotal
D:\WINDOWS\system32\8DCE2186B8.sys
a
D:\WINDOWS\system32\systr.exe
a dej se výsledky. Pro nelezení uvedených souborů si budeš muset zapnout zobrazení skrytých souborů a složek. Pokud by jsi ty soubory nemohl najít tak zkopíruj do volného řádku (vedle tlačítka Procházet) celou cestu k souboru a nechej je otestovat.
Vlož sem pak ještě nový log z HJT. Řekni kde ti antivir hlási ten vir.
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
po zaškrtnutí klikni na tlačítko Fix Checked
Jdi přes Start -> Spustit... otevře se ti okno kde do volného řádku napiš/zkopíruj postupně příkazy označené tučně:
sc stop PlugPlayEventSystem
klikni buď na tlačítko OK nebo dej Enter
pak tam zkopíruj tento příkaz
sc delete PlugPlayEventSystem
a zase buď klikni na tlačítko OK nebo dej Enter
Restartuj PC.
Nech zkontrolovat tady tyto dva soubory na Virustotal
D:\WINDOWS\system32\8DCE2186B8.sys
a
D:\WINDOWS\system32\systr.exe
a dej se výsledky. Pro nelezení uvedených souborů si budeš muset zapnout zobrazení skrytých souborů a složek. Pokud by jsi ty soubory nemohl najít tak zkopíruj do volného řádku (vedle tlačítka Procházet) celou cestu k souboru a nechej je otestovat.
Vlož sem pak ještě nový log z HJT. Řekni kde ti antivir hlási ten vir.
Naposledy upravil(a) fredik dne 06 říj 2007 17:19, celkem upraveno 1 x.
Tak tady je vypis z Virustotal pro Soubor systr.exe. Ten druhy je v poradku.
Antivirus Verze Poslední aktualizace Výsledek
AhnLab-V3 2007.10.4.0 2007.10.04 -
AntiVir 7.6.0.20 2007.10.04 TR/Crypt.XPACK.Gen
Authentium 4.93.8 2007.10.03 W32/Downldr2.FIX
Avast 4.7.1051.0 2007.10.04 Win32:Small-HVE
AVG 7.5.0.488 2007.10.04 Downloader.Generic4.JEJ
BitDefender 7.2 2007.10.04 MemScan:Trojan.Pws.Agent.JH
CAT-QuickHeal 9.00 2007.10.03 (Suspicious) - DNAScan
ClamAV 0.91.2 2007.10.04 -
DrWeb 4.44.0.09170 2007.10.04 Trojan.DownLoader.20866
eSafe 7.0.15.0 2007.10.02 Win32.Small.cyn
eTrust-Vet 31.2.5185 2007.10.04 -
Ewido 4.0 2007.10.04 Downloader.Small.cyn
FileAdvisor 1 2007.10.04 High threat detected
Fortinet 3.11.0.0 2007.10.03 W32/Small.CYN!tr.dldr
F-Prot 4.3.2.48 2007.10.03 W32/Downldr2.FIX
F-Secure 6.70.13030.0 2007.10.04 Trojan-Downloader.Win32.Small.cyn
Ikarus T3.1.1.12 2007.10.04 Trojan-Downloader.Win32.Small.cyn
Kaspersky 7.0.0.125 2007.10.04 Trojan-Downloader.Win32.Small.cyn
McAfee 5133 2007.10.03 Downloader.gen.a
Microsoft 1.2908 2007.10.04 Trojan:Win32/Meredrop
NOD32v2 2571 2007.10.04 Win32/TrojanDropper.Small.NFP
Norman 5.80.02 2007.10.04 W32/DLoader.CTLW
Panda 9.0.0.4 2007.10.04 Trj/Downloader.MDW
Rising 19.43.30.00 2007.10.04 Trojan.DL.Win32.Small.cyn
Sophos 4.22.0 2007.10.04 -
Sunbelt 2.2.907.0 2007.10.04 Trojan-PWS.Agent.JH
Symantec 10 2007.10.04 Downloader
TheHacker 6.2.6.076 2007.10.03 Trojan/Downloader.Small.cyn
VBA32 3.12.2.4 2007.10.03 Trojan-PSW.Win32.LdPinch.bfg
VirusBuster 4.3.26:9 2007.10.03 Trojan.DL.Small.UIY
Webwasher-Gateway 6.0.1 2007.10.04 Trojan.Crypt.XPACK.Gen
A tady je Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:09:15, on 4.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\wscntfy.exe
D:\Program Files\Eset\nod32kui.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
D:\Program Files\Maxthon\Maxthon.exe
C:\install\antispy\HiJackThis.exe
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Net Snippets - {67970B26-F57D-4455-8262-81C3AE3B8B5E} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] D:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Net Snippets - D:\PROGRA~1\NETSNI~1\Res\Clipper.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Přizpůsobit Menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF Nástrojová lišta - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Uložit formuláře - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Vyplnit formulář - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Uložit - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Uložit formuláře - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Snippets - {7130DF06-BBC1-4e16-83D4-1F875E65B695} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Nástrojová lišta - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0A6112F2-F9D1-4FBF-A6EC-B67B22915873} (FotoStarUploader Control) - http://foto.droxi.cz/snadno-vlozit-foto ... loader.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: D:\WINDOWS\system32\win_r.dll D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: SmartLinkService (SLService) - - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe
--
End of file - 6285 bytes
Antivirus Verze Poslední aktualizace Výsledek
AhnLab-V3 2007.10.4.0 2007.10.04 -
AntiVir 7.6.0.20 2007.10.04 TR/Crypt.XPACK.Gen
Authentium 4.93.8 2007.10.03 W32/Downldr2.FIX
Avast 4.7.1051.0 2007.10.04 Win32:Small-HVE
AVG 7.5.0.488 2007.10.04 Downloader.Generic4.JEJ
BitDefender 7.2 2007.10.04 MemScan:Trojan.Pws.Agent.JH
CAT-QuickHeal 9.00 2007.10.03 (Suspicious) - DNAScan
ClamAV 0.91.2 2007.10.04 -
DrWeb 4.44.0.09170 2007.10.04 Trojan.DownLoader.20866
eSafe 7.0.15.0 2007.10.02 Win32.Small.cyn
eTrust-Vet 31.2.5185 2007.10.04 -
Ewido 4.0 2007.10.04 Downloader.Small.cyn
FileAdvisor 1 2007.10.04 High threat detected
Fortinet 3.11.0.0 2007.10.03 W32/Small.CYN!tr.dldr
F-Prot 4.3.2.48 2007.10.03 W32/Downldr2.FIX
F-Secure 6.70.13030.0 2007.10.04 Trojan-Downloader.Win32.Small.cyn
Ikarus T3.1.1.12 2007.10.04 Trojan-Downloader.Win32.Small.cyn
Kaspersky 7.0.0.125 2007.10.04 Trojan-Downloader.Win32.Small.cyn
McAfee 5133 2007.10.03 Downloader.gen.a
Microsoft 1.2908 2007.10.04 Trojan:Win32/Meredrop
NOD32v2 2571 2007.10.04 Win32/TrojanDropper.Small.NFP
Norman 5.80.02 2007.10.04 W32/DLoader.CTLW
Panda 9.0.0.4 2007.10.04 Trj/Downloader.MDW
Rising 19.43.30.00 2007.10.04 Trojan.DL.Win32.Small.cyn
Sophos 4.22.0 2007.10.04 -
Sunbelt 2.2.907.0 2007.10.04 Trojan-PWS.Agent.JH
Symantec 10 2007.10.04 Downloader
TheHacker 6.2.6.076 2007.10.03 Trojan/Downloader.Small.cyn
VBA32 3.12.2.4 2007.10.03 Trojan-PSW.Win32.LdPinch.bfg
VirusBuster 4.3.26:9 2007.10.03 Trojan.DL.Small.UIY
Webwasher-Gateway 6.0.1 2007.10.04 Trojan.Crypt.XPACK.Gen
A tady je Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:09:15, on 4.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\wscntfy.exe
D:\Program Files\Eset\nod32kui.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
D:\Program Files\Maxthon\Maxthon.exe
C:\install\antispy\HiJackThis.exe
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Net Snippets - {67970B26-F57D-4455-8262-81C3AE3B8B5E} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] D:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Net Snippets - D:\PROGRA~1\NETSNI~1\Res\Clipper.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Přizpůsobit Menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF Nástrojová lišta - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Uložit formuláře - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Vyplnit formulář - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Uložit - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Uložit formuláře - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Snippets - {7130DF06-BBC1-4e16-83D4-1F875E65B695} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Nástrojová lišta - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0A6112F2-F9D1-4FBF-A6EC-B67B22915873} (FotoStarUploader Control) - http://foto.droxi.cz/snadno-vlozit-foto ... loader.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: D:\WINDOWS\system32\win_r.dll D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: SmartLinkService (SLService) - - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe
--
End of file - 6285 bytes
-
fredik
- člen Security týmu
-
Master Level 7
- Příspěvky: 4680
- Registrován: červenec 06
- Pohlaví:
- Stav:
Offline
Tento soubor smaž ručně, pokud by to nešlo tak řekni.
D:\WINDOWS\system32\systr.exe
Pokud nepotřebuješ nutně tak odinstaluj tento program:
Net Snippets
Máš ještě problémy? Pokud jo tak řekni kde ti antivir hlásí infekci.
Případně můžeš projet Pc Mwav a dát sem log ze spodního okna Virus Log Information, ale ještě před kontrolou pročisti Pc tímto: CCleaner (Čistič a Registry)
Ještě otestuj tento soubor na Virustotal:
D:\WINDOWS\system32\win_r.dll
D:\WINDOWS\system32\systr.exe
Pokud nepotřebuješ nutně tak odinstaluj tento program:
Net Snippets
Máš ještě problémy? Pokud jo tak řekni kde ti antivir hlásí infekci.
Případně můžeš projet Pc Mwav a dát sem log ze spodního okna Virus Log Information, ale ještě před kontrolou pročisti Pc tímto: CCleaner (Čistič a Registry)
Ještě otestuj tento soubor na Virustotal:
D:\WINDOWS\system32\win_r.dll
Tak tady je log z MWAV -
Objekt "grokster Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "grokster Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "ezula Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "trojan-downloader.bat.ftp.ab Trojan-Downloader" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Netscape\Netscape Navigator\User Trusted External Applications" odkazuje na neplatný objekt "". Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp1\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp10\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp11\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp2\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp3\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp4\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp5\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp6\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp7\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp8\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp9\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor C:\18E0.tmp je infikovaný virem Trojan-Spy.Win32.BZub.js !! Provedené akce: Nic nebylo provedeno.
Soubor C:\cload.exe je infikovaný virem Trojan-Downloader.Win32.Small.eid !! Provedené akce: Nic nebylo provedeno.
Soubor C:\install\Video utilities\Apollo 3gp\Apollo[1].3GP.Video.Converter.v2.2.7.WinALL.Keygen.Only-BRD.rar.rar/installer.exe//PE_Patch//PE_Patch.UPX//UPX//data0002//PE_Patch//PE_Patch.UPX//UPX je infikovaný virem Trojan.Win32.VB.amd !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp1\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp10\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp11\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp2\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp3\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp4\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp5\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp6\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp7\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp8\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp9\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Program Files\Maxthon\privet.exe je infikovaný virem Trojan-PSW.Win32.LdPinch.btt !! Provedené akce: Nic nebylo provedeno.
Soubor D:\System Volume Information\_restore{636EB44E-8F7B-4DF7-B00C-211C76B099B9}\RP397\A0069264.exe je infikovaný virem Trojan-Downloader.Win32.Small.cyn !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Program Files\Maxthon\privet.exe - potvrzena infekce i na VirusTotal
Soubory RomDump.com maji nulovou velikost
A tady je
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:16:04, on 4.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\wscntfy.exe
D:\Program Files\Eset\nod32kui.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
D:\Program Files\Maxthon\Maxthon.exe
D:\Program Files\TC PowerPack\totalcmd.exe
D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\mexe.com
C:\install\antispy\HiJackThis.exe
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Net Snippets - {67970B26-F57D-4455-8262-81C3AE3B8B5E} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] D:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Net Snippets - D:\PROGRA~1\NETSNI~1\Res\Clipper.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Přizpůsobit Menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF Nástrojová lišta - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Uložit formuláře - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Vyplnit formulář - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Uložit - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Uložit formuláře - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Snippets - {7130DF06-BBC1-4e16-83D4-1F875E65B695} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Nástrojová lišta - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0A6112F2-F9D1-4FBF-A6EC-B67B22915873} (FotoStarUploader Control) - http://foto.droxi.cz/snadno-vlozit-foto ... loader.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: D:\WINDOWS\system32\win_r.dll D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: SmartLinkService (SLService) - - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe
--
End of file - 6374 bytes
Objekt "grokster Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "grokster Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "ezula Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "trojan-downloader.bat.ftp.ab Trojan-Downloader" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "Possible Fujacks-type Worm" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Netscape\Netscape Navigator\User Trusted External Applications" odkazuje na neplatný objekt "". Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp1\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp10\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp11\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp2\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp3\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp4\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp5\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp6\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp7\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp8\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\~RomDmp9\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor C:\18E0.tmp je infikovaný virem Trojan-Spy.Win32.BZub.js !! Provedené akce: Nic nebylo provedeno.
Soubor C:\cload.exe je infikovaný virem Trojan-Downloader.Win32.Small.eid !! Provedené akce: Nic nebylo provedeno.
Soubor C:\install\Video utilities\Apollo 3gp\Apollo[1].3GP.Video.Converter.v2.2.7.WinALL.Keygen.Only-BRD.rar.rar/installer.exe//PE_Patch//PE_Patch.UPX//UPX//data0002//PE_Patch//PE_Patch.UPX//UPX je infikovaný virem Trojan.Win32.VB.amd !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp1\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp10\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp11\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp2\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp3\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp4\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp5\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp6\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp7\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp8\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Documents and Settings\SLUNICKO\Local Settings\Temp\~RomDmp9\RomDump.com je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Program Files\Maxthon\privet.exe je infikovaný virem Trojan-PSW.Win32.LdPinch.btt !! Provedené akce: Nic nebylo provedeno.
Soubor D:\System Volume Information\_restore{636EB44E-8F7B-4DF7-B00C-211C76B099B9}\RP397\A0069264.exe je infikovaný virem Trojan-Downloader.Win32.Small.cyn !! Provedené akce: Nic nebylo provedeno.
Soubor D:\Program Files\Maxthon\privet.exe - potvrzena infekce i na VirusTotal
Soubory RomDump.com maji nulovou velikost
A tady je
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:16:04, on 4.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal
Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\wscntfy.exe
D:\Program Files\Eset\nod32kui.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
D:\Program Files\Maxthon\Maxthon.exe
D:\Program Files\TC PowerPack\totalcmd.exe
D:\DOCUME~1\SLUNICKO\LOCALS~1\Temp\mexe.com
C:\install\antispy\HiJackThis.exe
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Net Snippets - {67970B26-F57D-4455-8262-81C3AE3B8B5E} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] D:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] D:\Program Files\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Net Snippets - D:\PROGRA~1\NETSNI~1\Res\Clipper.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Přizpůsobit Menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF Nástrojová lišta - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Uložit formuláře - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Vyplnit formulář - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Vyplnit formulář - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Uložit - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Uložit formuláře - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Snippets - {7130DF06-BBC1-4e16-83D4-1F875E65B695} - D:\PROGRA~1\NETSNI~1\NetSnip.dll
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Nástrojová lišta - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0A6112F2-F9D1-4FBF-A6EC-B67B22915873} (FotoStarUploader Control) - http://foto.droxi.cz/snadno-vlozit-foto ... loader.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: D:\WINDOWS\system32\win_r.dll D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: SmartLinkService (SLService) - - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe
--
End of file - 6374 bytes
-
fredik
- člen Security týmu
-
Master Level 7
- Příspěvky: 4680
- Registrován: červenec 06
- Pohlaví:
- Stav:
Offline
Smaž tyto soubory, kdyby to nešlo tak řekni.
C:\18E0.tmp
C:\cload.exe
C:\install\Video utilities\Apollo 3gp\Apollo[1].3GP.Video.Converter.v2.2.7.WinALL.Keygen.Only-BRD.rar.rar
D:\Program Files\Maxthon\privet.exe
Vypni obnovu systému:
Klikni pravým tlačítkem myši na Tento počítač -> Vlastnosti -> Obnova systému a zaškrtni volbu Vypnout nástroj obnova systému na všech jednotkách. Klikni na OK. Pak restartuj PC.
Po nejetí zpět do Windows si opačným způsobem můžeš zapnout obnovu systému zpět tím že zruším zatržení u již zmíněné položky.
Otestuj ještě tento soubor jak jsem psal a dej sem výsledek:
D:\WINDOWS\system32\win_r.dll
C:\18E0.tmp
C:\cload.exe
C:\install\Video utilities\Apollo 3gp\Apollo[1].3GP.Video.Converter.v2.2.7.WinALL.Keygen.Only-BRD.rar.rar
D:\Program Files\Maxthon\privet.exe
Vypni obnovu systému:
Klikni pravým tlačítkem myši na Tento počítač -> Vlastnosti -> Obnova systému a zaškrtni volbu Vypnout nástroj obnova systému na všech jednotkách. Klikni na OK. Pak restartuj PC.
Po nejetí zpět do Windows si opačným způsobem můžeš zapnout obnovu systému zpět tím že zruším zatržení u již zmíněné položky.
Otestuj ještě tento soubor jak jsem psal a dej sem výsledek:
D:\WINDOWS\system32\win_r.dll
Kdo je online
Uživatelé prohlížející si toto fórum: Žádní registrovaní uživatelé a 15 hostů