winlogon.exe trojan a nejedou XP

[milza]

Po shlédnutí ostatních úspěšně vyřešených přřípadů se na vás obracím jako na odborníky s prosbou o pomoc. Včera mi zahlásilo AVG 7 trojana v souboru winlogon.exe, dal jsem ho léčit, ale po restartu už mi nenaběhly XP s vážnou chybou systému a byly vypnuty do modré obrazovky. Jediné co jede je nouzový režim. PC jsem zkontrolovat Ad-Awarem a Spybotem, odinstaloval AVG a dal tam NOD32, který to otestoval bez nálezu viru. Posílám log na kontrolu, jestli je možnost to rozchodit. Ď za info.

Logfile of HijackThis v1.99.1
Scan saved at 18:02:00, on 7.12.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe
C:\Program Files\Firefox\firefox.exe
D:\Pracovní\USB Disk\usb\HijackThis 1.99.1\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - E:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [ATIPTA] "E:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [ATICCC] "E:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [WinampAgent] c:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "E:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [nod32kui] "E:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\RunOnce: [EVGclean] D:\DOCUME~1\Milza\LOCALS~1\Temp\EVGclean.bat
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "D:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe"
O4 - Startup: Winamp.lnk = C:\Program Files\Winamp\winamp.exe
O4 - Startup: Průzkumník.scf
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Office Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Program Files\Java\jre1.5.0_09\bin\npjpi150_09.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Program Files\Java\jre1.5.0_09\bin\npjpi150_09.dll
O9 - Extra button: Zdroje informací - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\..\{F199D070-7AC3-450B-AF05-0E5F73F0B7B7}: NameServer = 195.128.203.2,195.128.203.3
O20 - Winlogon Notify: MCPClient - D:\PROGRA~1\COMMON~1\Stardock\mcpstub.dll (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - D:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - E:\Program Files\Eset\nod32krn.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - D:\WINDOWS\System32\UAService7.exe

[Reklama]

[mijaja]

Zatím jak koukám tak ti tam winlogon jede. Otázkou je jestli je to ten původní, nebo nějaký natažený ze zálohy, nebo obnovy systému.

Tohle je citace ze serveru mrkvosoftu

Omezení: Možnosti záchrany přes Konzolu pro zotavení jsou omezeny, konstatuje pan Novák poté, co se mu nepodařilo spustit Windows XP. Domnívá se, že chyba je někde v registru v klíči Winlogon, neboť na něm naposledy prováděl nějaké změny. Takže nyní nevidí prakticky žádnou možnost, jak špatnou hodnotu v registru opravit. Konzola pro zotavení nedokáže prakticky nic, neumí spustit žádný externí program, nedokáže načíst soubor se zálohou registru, ani neumí připojit další disky – jedinou možností tak zůstává disketa.

Řešení: Od té doby, co se objevil PE Builder (viz tip č. 2), můžeme směle prohlásit, že Microsoftem vymyšlená Konzola pro zotavení dosloužila. Bootovací CD s mini Windows PE nabízí prostřednictvím jednoduchého rozhraní s podporou myši přístup ke všem souborům, podporuje USB, Firewire, diskety a umí spustit libovolný externí program.

Osobně se domnívám (ale nemusím mít pravdu), že ten napadený winlogon ti po léčení zablokoval účty. A po smazání AVGčka odešel s ním. Pokud by sis AVG tehdy nechal, možná by to z karantény šlo obnovit. Ten nový, který ti tam běží, nejspíše nemá o tvých starých účtech ani ponětí a je možné, že tě proto do nich nepustí. Pokud se dostaneš do nouzáku, vyzkoušej Obnovu systému k době před infekcí winlogonu.

Nevím, jestli to funguje i v nouzáku, ale zkus automatické přihlášení :
Dej Start a Spustit a do okénka zkopíruj toto: control userpasswords2 a dej Enter.

Ten log dej potom nový, až se dostaneš do normálu. A pokud se ti obnoví AVGčko a komp pojede, tak to AVG zlikviduj a dej si tam NODa.
Jinak chybí ti SP2 a firewall. S nimi bys tohle vůbec řešit nemusel.

[milza]

No tak ten "živočich" se teď záhadně rozjel ze zálohy. Předtím nejel ani z poslední známé konfigurace, z ladění, z backupu, dokonce se mi zasekla i přeinstalace na měkko.
Ten winlogon jsem si po napadení a označení AVG vyláhl bokem a než jsem to AVG odinstaloval, tak jsem ho z karantény odstranil a pak dal zpátky a nic až nyní.
Takže teď už mi zbývá jen udržet tento setrvalý stav a zbavit se při bootování ve výběru systému-toho backupu a instalace XP-neboť to teď upřednostňuje.
O absenci SP2 a firewallu vím. Snaha s SP2 byla, ale jaxi se opět instalace zasekla, neboť něco nemohl nahradit-teď mě napadlo, že snad možná přes nouzový režim by se tam dal vecpat. A jaký firewall doporučit?
Kerio? Díval jsem se co se ti osvědčilo a mám znám/používám tak čtvrtinu....

Velké Ď za info.