Skocz do zawartości


tablety.pl
Zdjęcie
- - - - -

Komputer zainfekowany prawdopodobnie trojanem lub rootkitem?




  • Zamknięty Temat jest zamknięty
4 odpowiedzi w tym temacie

#1 spartan

spartan

    Second Rank

  • Na emeryturze
  • 111 postów

Napisano 02 08 2009 - 18:44

Witam

Jakiś czas temu mój komputer został zainfekowany przez malware.

Dołączona grafika

Używając NOD-a32 i MalwareBytes Anti-malware usunąłem szkodliwe komponenty, jak się okazało jednak nie kompletnie. Zupełnie przez przypadek odkryłem co następuje:

1. Automatyczne aktualizacje, które miałem włączone na monitowanie o nowe poprawki obecnie nie działają. Łącząc się ze stroną Windows Update wyskakuje błąd [Numer błędu: 0x8024D007] i nic nie mogę pobrać. Sama usługa Windows Update jest zatrzymana i nie mogę jej uruchomić. Analogiczna przypadłość jak u kolegi Kubi_jara w wątku link z tym że nie mogę poprawić ścieżki do pliku wykonywalnego usługi w rejestrze ponieważ występuje błąd przy zapisie wartości.

Dołączona grafika

Ciekawą rzecz odkryłem również w optymalizatorze systemu ACE Utilities, a mianowicie w zakładce do tuningowania autostartu:
Dołączona grafika

2. W firewallu zablokowałem jakieś świntwo które torowało sobie drogę na zewnątrz:
Dołączona grafika
Niewidoczny szkodnik znajduje się w folderze Macromedia ukryty w plikach Adobe Flash Playera C:\WINDOWS\system32\Macromed/download/download.exe


3. W konsoli msconfig odkryłem dwie nowe usługi nieznanego mi pochodzenia o nazwie
SLZQUWD producent nieznany i GGZ producent również nieznany, natomiast
Automatyczne Aktualizacje i Usługa inteligentnego transferu w tle nie mają podpisu Microsoft Corporation czyżby ich pliki były zastępione fake'ami??? Obydwie usługi mają niewłasciwą ścieżkę do pliku wykonywalnego: %fystemroot%\system32\svchost.exe -k netsvcs


LOG z OtlistIt2

OTL logfile created on: 2009-08-03 21:41:38 - Run 1
OTL by OldTimer - Version 3.0.10.4 Folder = D:\Instalki\intrusion detection
Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000415 | Country: Polska | Language: PLK | Date Format: yyyy-MM-dd

383,48 Mb Total Physical Memory | 100,98 Mb Available Physical Memory | 26,33% Memory free
922,21 Mb Paging File | 632,32 Mb Available in Paging File | 68,57% Paging File free
Paging file location(s): C:\pagefile.sys 576 1152 [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Program Files
Drive C: | 18,64 Gb Total Space | 13,32 Gb Free Space | 71,48% Space Free | Partition Type: NTFS
Drive D: | 18,62 Gb Total Space | 15,28 Gb Free Space | 82,05% Space Free | Partition Type: FAT32
E: Drive not present or media not loaded
F: Drive not present or media not loaded
G: Drive not present or media not loaded
H: Drive not present or media not loaded
I: Drive not present or media not loaded

Computer Name: X-033BCF0B52554
Current User Name: użytkownik
Logged in as Administrator.

Current Boot Mode: Normal
Scan Mode: All users
Company Name Whitelist: On
Skip Microsoft Files: Off
File Age = 90 Days
Output = Standard

========== Processes (SafeList) ==========

PRC - [2004-08-04 01:44:20 | 01,033,728 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\Explorer.EXE
PRC - [2008-07-01 09:02:28 | 00,468,224 | ---- | M] (ESET) -- C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
PRC - [2005-12-19 11:44:40 | 01,368,064 | ---- | M] (Sunbelt Software) -- C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exe
PRC - [2005-12-19 11:43:52 | 02,617,344 | ---- | M] (Sunbelt Software) -- C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exe
PRC - [2003-10-16 19:07:10 | 00,024,576 | ---- | M] () -- C:\Program Files\Neostrada TP\CnxMon.exe
PRC - [2004-01-26 11:38:38 | 00,866,816 | ---- | M] (THOMSON Telecom Belgium) -- C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe
PRC - [2003-10-16 19:07:12 | 00,053,248 | ---- | M] (France Télécom R&D) -- C:\Program Files\Neostrada TP\TaskBarIcon.exe
PRC - [2008-07-01 09:01:04 | 01,447,168 | ---- | M] (ESET) -- C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
PRC - [2005-12-19 11:43:52 | 02,617,344 | ---- | M] (Sunbelt Software) -- C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exe
PRC - [2003-10-16 19:07:12 | 00,626,688 | ---- | M] (France Télécom R&D) -- C:\Program Files\Neostrada TP\NeostradaTP.exe
PRC - [2003-10-16 19:07:10 | 00,200,704 | ---- | M] (France Télécom R&D) -- C:\Program Files\Neostrada TP\ComComp.exe
PRC - [2003-10-16 19:07:12 | 00,020,480 | ---- | M] (France Télécom R&D) -- C:\Program Files\Neostrada TP\Watch.exe
PRC - [2009-07-29 00:32:22 | 00,830,960 | ---- | M] (Google Inc.) -- C:\Documents and Settings\użytkownik\Ustawienia lokalne\Dane aplikacji\Google\Chrome\Application\chrome.exe
PRC - [2009-07-29 00:32:22 | 00,830,960 | ---- | M] (Google Inc.) -- C:\Documents and Settings\użytkownik\Ustawienia lokalne\Dane aplikacji\Google\Chrome\Application\chrome.exe
PRC - [2009-07-29 00:32:22 | 00,830,960 | ---- | M] (Google Inc.) -- C:\Documents and Settings\użytkownik\Ustawienia lokalne\Dane aplikacji\Google\Chrome\Application\chrome.exe
PRC - [2009-08-03 20:58:24 | 00,514,048 | ---- | M] (OldTimer Tools) -- D:\Instalki\intrusion detection\OTListIt2 3.0.10.4.exe

========== Win32 Services (SafeList) ==========

SRV - [2005-09-23 07:28:32 | 00,029,896 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe -- (aspnet_state [On_Demand | Stopped])
SRV - [2005-09-23 07:28:56 | 00,066,240 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe -- (clr_optimization_v2.0.50727_32 [On_Demand | Stopped])
SRV - [2008-07-01 09:08:00 | 00,019,200 | ---- | M] (ESET) -- C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe -- (EhttpSrv [On_Demand | Stopped])
SRV - [2008-07-01 09:02:28 | 00,468,224 | ---- | M] (ESET) -- C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe -- (ekrn [Auto | Running])
SRV - File not found -- -- (GGZ [On_Demand | Stopped])
SRV - [2004-08-04 01:44:08 | 00,038,912 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\PCHealth\HelpCtr\Binaries\pchsvc.dll -- (helpsvc [Auto | Running])
SRV - [2005-12-19 11:44:40 | 01,368,064 | ---- | M] (Sunbelt Software) -- C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exe -- (KPF4 [Auto | Running])
SRV - [2003-07-28 20:28:22 | 00,089,136 | ---- | M] (Microsoft Corporation) -- C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE -- (ose [On_Demand | Stopped])
SRV - File not found -- -- (SLZQUWD [On_Demand | Stopped])

========== Driver Services (SafeList) ==========

DRV - [2003-12-08 11:53:48 | 00,053,600 | ---- | M] (THOMSON) -- C:\WINDOWS\System32\DRIVERS\alcan5wn.sys -- (alcan5wn [On_Demand | Running])
DRV - [2003-12-08 11:53:46 | 00,070,688 | ---- | M] (THOMSON) -- C:\WINDOWS\System32\DRIVERS\alcaudsl.sys -- (alcaudsl [On_Demand | Running])
DRV - [2008-07-01 08:56:22 | 00,039,944 | ---- | M] (ESET) -- C:\WINDOWS\System32\DRIVERS\eamon.sys -- (eamon [Auto | Running])
DRV - [2008-07-01 08:57:14 | 00,053,256 | ---- | M] (ESET) -- C:\WINDOWS\System32\DRIVERS\easdrv.sys -- (easdrv [System | Running])
DRV - [2008-07-01 09:04:40 | 00,034,312 | ---- | M] () -- C:\WINDOWS\System32\DRIVERS\epfwtdir.sys -- (epfwtdir [System | Running])
DRV - [2005-12-15 18:13:34 | 00,274,432 | ---- | M] (Sunbelt Software) -- C:\WINDOWS\system32\drivers\fwdrv.sys -- (fwdrv [System | Running])
DRV - [2004-08-04 01:08:22 | 00,010,624 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\System32\DRIVERS\gameenum.sys -- (gameenum [On_Demand | Running])
DRV - [2005-12-15 18:01:52 | 00,081,920 | ---- | M] () -- C:\WINDOWS\system32\drivers\khips.sys -- (khips [System | Running])
DRV - [2001-08-18 00:00:04 | 00,002,944 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\System32\drivers\msmpu401.sys -- (ms_mpu401 [On_Demand | Running])
DRV - [2004-08-04 00:29:56 | 01,897,408 | ---- | M] (NVIDIA Corporation) -- C:\WINDOWS\System32\DRIVERS\nv4_mini.sys -- (nv [On_Demand | Running])
DRV - [2001-08-17 23:49:56 | 00,017,792 | ---- | M] (Parallel Technologies, Inc.) -- C:\WINDOWS\System32\DRIVERS\ptilink.sys -- (Ptilink [On_Demand | Running])
DRV - [2006-11-02 16:57:04 | 00,036,624 | ---- | M] (Sonic Solutions) -- C:\WINDOWS\system32\Drivers\PxHelp20.sys -- (PxHelp20 [Boot | Running])
DRV - [2004-07-17 12:36:38 | 00,027,440 | ---- | M] () -- C:\WINDOWS\System32\DRIVERS\secdrv.sys -- (Secdrv [On_Demand | Stopped])
DRV - [2003-07-02 04:42:00 | 00,027,904 | ---- | M] (VIA Technologies, Inc.) -- C:\WINDOWS\system32\DRIVERS\viaagp1.sys -- (viaagp1 [Boot | Running])
DRV - [2001-12-18 14:45:04 | 00,003,279 | ---- | M] (VIA Technologies. Inc.) -- C:\WINDOWS\System32\Drivers\VIAPFD.SYS -- (VIAPFD [System | Running])
DRV - [2003-06-16 11:05:40 | 00,369,920 | R--- | M] (VIA Technologies, Inc.) -- C:\WINDOWS\System32\drivers\viaudios.sys -- (VIAudio [On_Demand | Running])

========== Standard Registry (SafeList) ==========


========== Internet Explorer ==========

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft...p...&ar=msnhome
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com/ie
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft...amp;ar=iesearch
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft...p...ER}&ar=home
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ie.search.msn...st/srchcust.htm
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.google.com/ie
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com/ie






IE - HKU\s-1-5-21-1409082233-1606980848-1060284298-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
IE - HKU\s-1-5-21-1409082233-1606980848-1060284298-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pl/
IE - HKU\s-1-5-21-1409082233-1606980848-1060284298-1003\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com/ie
IE - URLSearchHook: {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Neostrada TP\SearchPageURL.dll ()
IE - HKU\s-1-5-21-1409082233-1606980848-1060284298-1003\s-1-5-21-1409082233-1606980848-1060284298-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0



O1 HOSTS File: (742 bytes) - C:\WINDOWS\System32\drivers\etc\Hosts
O1 - Hosts: 127.0.0.1 localhost
O2 - BHO: (AcroIEHlprObj Class) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)
O4 - HKLM..\Run: [egui] C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe (ESET)
O4 - HKLM..\Run: [SpeedTouch USB Diagnostics] C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe (THOMSON Telecom Belgium)
O4 - HKLM..\Run: [WooCnxMon] C:\Program Files\Neostrada TP\CnxMon.exe ()
O4 - HKLM..\Run: [WOOTASKBARICON] C:\Program Files\Neostrada TP\TaskBarIcon.exe (France Télécom R&D)
O4 - HKLM..\Run: [WOOWATCH] C:\Program Files\Neostrada TP\Watch.exe (France Télécom R&D)
O4 - Startup: C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe (Adobe Systems Incorporated)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: dontdisplaylastusername = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: legalnoticecaption =
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: legalnoticetext =
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: shutdownwithoutlogon = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: undockwithoutlogon = 1
O7 - HKU\.default\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\s-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\s-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 149
O7 - HKU\s-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 149
O7 - HKU\s-1-5-21-1409082233-1606980848-1060284298-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 36
O7 - HKU\s-1-5-21-1409082233-1606980848-1060284298-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveAutoRun = FF FF FF FF [binary data]
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE (Microsoft Corporation)
O9 - Extra Button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\Program Files\Microsoft Office\OFFICE11\REFIEBAR.DLL (Microsoft Corporation)
O9 - Extra Button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (Microsoft Corporation)
O9 - Extra 'Tools' menuitem : Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (Microsoft Corporation)
O15 - HKLM\..Trusted Domains: 1 domain(s) and sub-domain(s) not assigned to a zone.
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} http://download.macr...director/sw.cab (Shockwave ActiveX Control)
O16 - DPF: {41564D57-9980-0010-8000-00AA00389B71} http://download.micr...01F/wmvadvd.cab (Reg Error: Key error.)
O16 - DPF: {6414512b-b978-451d-a0d8-fcfdf33e833c} http://update.micros...b?1249218449395 (WUWebControl Class)
O16 - DPF: {6e32070a-766d-4ee6-879c-dc1fa91d2fc3} http://update.micros...b?1249217302174 (MUWebControl Class)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/...indows-i586.cab (Reg Error: Key error.)
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} http://fpdownload.ma...r/ultrashim.cab (Reg Error: Key error.)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} http://fpdownload.ma...ash/swflash.cab (Shockwave Flash Object)
O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Program Files\Common Files\SYSTEM\OLE DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Program Files\Common Files\SYSTEM\OLE DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Program Files\Common Files\SYSTEM\OLE DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Program Files\Common Files\SYSTEM\OLE DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\ipp - No CLSID value found
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Program Files\Common Files\SYSTEM\OLE DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp - No CLSID value found
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Program Files\Common Files\SYSTEM\OLE DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Program Files\Common Files\SYSTEM\OLE DB\msdaipp.dll (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Program Files\Common Files\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Filter: - text/xml - C:\Program Files\Common Files\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\Explorer.exe (Microsoft Corporation)
O24 - Desktop Components:0 (Moja bieżąca strona główna) - About:Home
O31 - SafeBoot: AlternateShell - cmd.exe
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2008-07-20 19:47:27 | 00,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2009-02-20 18:14:21 | 00,000,000 | RHSD | M] - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2009-02-20 17:14:24 | 00,000,000 | RHSD | M] - D:\autorun.inf -- [ FAT32 ]
O34 - HKLM BootExecute: (autocheck) - File not found
O34 - HKLM BootExecute: (autochk) - C:\WINDOWS\System32\autochk.exe (Microsoft Corporation)
O34 - HKLM BootExecute: (*) - File not found

========== Files/Folders - Created Within 90 Days ==========

[2 C:\WINDOWS\*.tmp files]
[2009-08-03 21:43:51 | 03,154,617 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\ComboFix .exe
[2009-08-02 17:22:14 | 00,000,000 | ---D | C] -- C:\Documents and Settings\użytkownik\Moje dokumenty\Downloads
[2009-08-02 17:22:01 | 00,002,341 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\Google Chrome.lnk
[2009-08-02 17:19:52 | 00,000,000 | ---D | C] -- C:\Documents and Settings\użytkownik\Ustawienia lokalne\Dane aplikacji\Temp
[2009-08-02 17:19:50 | 00,001,152 | ---- | C] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1409082233-1606980848-1060284298-1003UA.job
[2009-08-02 17:19:48 | 00,001,100 | ---- | C] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1409082233-1606980848-1060284298-1003Core.job
[2009-08-02 17:19:07 | 00,000,000 | ---D | C] -- C:\Documents and Settings\użytkownik\Ustawienia lokalne\Dane aplikacji\Deployment
[2009-08-02 15:07:33 | 00,000,000 | ---D | C] -- C:\WINDOWS\LastGood
[2009-08-02 15:04:09 | 00,000,000 | ---D | C] -- C:\WINDOWS\LastGood.Tmp
[2009-08-01 18:48:18 | 00,039,424 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\pulpit.doc
[2009-07-24 12:29:06 | 00,068,096 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\h.doc
[2009-07-24 12:20:14 | 00,175,616 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\Zasady_GHP_GMP.ppt
[2009-07-20 19:31:36 | 02,847,552 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\5. tesco value - w sam raz...mp31248111276_[mp3.teledyski.info].mp3
[2009-07-20 19:18:38 | 03,365,823 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\czeslaw mozil-wesoly kapelusz.mp31248110153_[mp3.teledyski.info].mp3
[2009-07-19 21:43:57 | 04,297,036 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\czeslaw spiewa - efekt uboczny trzezwo_.mp31248032426_[mp3.teledyski.info].mp3
[2009-07-19 09:59:00 | 00,419,382 | ---- | C] () -- C:\Documents and Settings\użytkownik\Moje dokumenty\imagebrooke.png
[2009-07-18 10:45:56 | 00,004,925 | ---- | C] () -- C:\Documents and Settings\użytkownik\Moje dokumenty\s320-Yonkou_JPG.htm
[2009-07-18 10:43:48 | 00,000,000 | ---D | C] -- C:\Documents and Settings\użytkownik\Moje dokumenty\s320-Yonkou_JPG_pliki
[2009-07-14 21:22:22 | 00,212,992 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\Piwo.doc
[2009-07-07 20:55:37 | 00,102,400 | ---- | C] () -- C:\WINDOWS\System32\drivers\59b46e93.sys
[2009-06-07 13:35:19 | 00,000,616 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\Skrót do gg.lnk
[2009-05-25 22:50:20 | 00,000,000 | -H-D | C] -- C:\WINDOWS\$MSI31Uninstall_KB893803v2$
[2009-05-23 11:06:21 | 40,218,2144 | -HS- | C] () -- C:\hiberfil.sys
[2009-05-23 10:35:05 | 00,000,165 | ---- | C] () -- C:\WINDOWS\System32\drivers\fwdrv.err
[2009-05-18 21:53:44 | 00,001,734 | ---- | C] () -- C:\Documents and Settings\użytkownik\Pulpit\HijackThis.lnk
[2008-08-21 13:09:12 | 00,000,020 | ---- | C] () -- C:\WINDOWS\naglos.INI
[2008-08-06 19:05:44 | 00,000,069 | ---- | C] () -- C:\WINDOWS\NeroDigital.ini
[2008-08-06 10:22:20 | 00,000,222 | ---- | C] () -- C:\WINDOWS\VOGEL.INI
[2008-07-26 13:18:09 | 00,001,088 | ---- | C] () -- C:\WINDOWS\_delis32.ini
[2008-07-26 13:18:07 | 00,001,048 | ---- | C] () -- C:\WINDOWS\_isenv31.ini
[2008-07-26 13:18:07 | 00,000,521 | ---- | C] () -- C:\WINDOWS\_iserr31.ini
[2008-07-24 22:57:28 | 00,000,016 | ---- | C] () -- C:\WINDOWS\wininit.ini
[2008-07-20 23:10:26 | 00,077,824 | ---- | C] () -- C:\WINDOWS\System32\setupnt.dll
[2008-07-20 23:10:26 | 00,043,648 | ---- | C] () -- C:\WINDOWS\System32\drivers\pamondrv.sys
[2008-07-20 21:10:59 | 00,000,421 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2008-07-20 20:51:49 | 00,005,606 | ---- | C] () -- C:\WINDOWS\System32\stci.dll
[2008-07-01 09:04:40 | 00,034,312 | ---- | C] () -- C:\WINDOWS\System32\drivers\epfwtdir.sys
[2005-12-15 18:01:52 | 00,081,920 | ---- | C] () -- C:\WINDOWS\System32\drivers\khips.sys
[2004-08-04 01:44:00 | 00,081,920 | ---- | C] () -- C:\WINDOWS\System32\ieencode.dll
[2004-07-17 12:36:38 | 00,027,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\secdrv.sys
[2001-07-22 00:16:20 | 00,000,537 | ---- | C] () -- C:\WINDOWS\win.ini
[2001-07-22 00:15:52 | 00,000,277 | ---- | C] () -- C:\WINDOWS\system.ini

========== Files - Modified Within 90 Days ==========

[2 C:\WINDOWS\*.tmp files]
[2009-08-03 21:45:28 | 00,102,400 | ---- | M] () -- C:\WINDOWS\System32\drivers\59b46e93.sys
[2009-08-03 21:43:52 | 03,154,617 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\ComboFix .exe
[2009-08-03 21:24:07 | 00,001,152 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1409082233-1606980848-1060284298-1003UA.job
[2009-08-03 19:43:15 | 00,000,006 | -H-- | M] () -- C:\WINDOWS\tasks\SA.DAT
[2009-08-03 19:43:13 | 00,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2009-08-03 19:43:11 | 40,218,2144 | -HS- | M] () -- C:\hiberfil.sys
[2009-08-03 10:49:21 | 00,000,069 | ---- | M] () -- C:\WINDOWS\NeroDigital.ini
[2009-08-02 18:59:09 | 00,000,537 | ---- | M] () -- C:\WINDOWS\win.ini
[2009-08-02 18:59:09 | 00,000,277 | ---- | M] () -- C:\WINDOWS\system.ini
[2009-08-02 18:59:09 | 00,000,211 | -HS- | M] () -- C:\boot.ini
[2009-08-02 17:24:01 | 00,001,100 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1409082233-1606980848-1060284298-1003Core.job
[2009-08-02 17:22:01 | 00,002,341 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\Google Chrome.lnk
[2009-08-02 12:41:21 | 00,000,520 | ---- | M] () -- C:\hpfr3420.xml
[2009-08-01 19:15:02 | 00,039,424 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\pulpit.doc
[2009-07-24 12:43:02 | 00,068,096 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\h.doc
[2009-07-24 12:20:15 | 00,175,616 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\Zasady_GHP_GMP.ppt
[2009-07-21 19:24:00 | 02,847,552 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\5. tesco value - w sam raz...mp31248111276_[mp3.teledyski.info].mp3
[2009-07-21 18:01:44 | 03,365,823 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\czeslaw mozil-wesoly kapelusz.mp31248110153_[mp3.teledyski.info].mp3
[2009-07-21 17:49:40 | 00,002,206 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2009-07-20 21:30:11 | 04,297,036 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\czeslaw spiewa - efekt uboczny trzezwo_.mp31248032426_[mp3.teledyski.info].mp3
[2009-07-19 09:59:00 | 00,419,382 | ---- | M] () -- C:\Documents and Settings\użytkownik\Moje dokumenty\imagebrooke.png
[2009-07-18 10:45:56 | 00,004,925 | ---- | M] () -- C:\Documents and Settings\użytkownik\Moje dokumenty\s320-Yonkou_JPG.htm
[2009-07-14 21:22:24 | 00,212,992 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\Piwo.doc
[2009-06-17 11:27:56 | 00,038,160 | ---- | M] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys
[2009-06-17 11:27:44 | 00,019,096 | ---- | M] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2009-06-07 13:35:19 | 00,000,616 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\Skrót do gg.lnk
[2009-05-31 19:06:13 | 04,316,462 | -H-- | M] () -- C:\Documents and Settings\użytkownik\Ustawienia lokalne\Dane aplikacji\IconCache.db
[2009-05-31 15:07:32 | 00,000,685 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\IrfanView.lnk
[2009-05-26 17:12:00 | 00,017,920 | ---- | M] () -- C:\Documents and Settings\użytkownik\Ustawienia lokalne\Dane aplikacji\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2009-05-23 10:35:05 | 00,000,165 | ---- | M] () -- C:\WINDOWS\System32\drivers\fwdrv.err
[2009-05-18 21:53:44 | 00,001,734 | ---- | M] () -- C:\Documents and Settings\użytkownik\Pulpit\HijackThis.lnk

========== Alternate Data Streams ==========

@Alternate Data Stream - 158 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:E965A533
< End of report >



LOG z GMERa umieszcze w późniejszym terminie.

#2 Gość_Landuss_*

Gość_Landuss_*
  • Goście

Napisano 02 08 2009 - 20:28

Tu jest rootkit. W tej sytuacji najlepiej zastosuj ComboFix i wklej z niego log.

#3 spartan

spartan

    Second Rank

  • Na emeryturze
  • 111 postów

Napisano 03 08 2009 - 21:27

Załączam zaległy LOG z GMERA. Masz racje Landuss to Rootkit!!! Teraz jeszcze pozostaje mi sprawdzić system ComboFixem. Jak to zrobię to umieszczę od razu LOG.


LOGI z GMERa i ComboFixa:

Załączone pliki

  • Załączony plik  gmer.txt   136,45 KB   108 Ilość pobrań
  • Załączony plik  log.txt   6,8 KB   110 Ilość pobrań


#4 Gość_Landuss_*

Gość_Landuss_*
  • Goście

Napisano 04 08 2009 - 14:17

Rootkit skasowany. Kroki końcowe:

1. Wejdź w start >>> uruchom >>> cmd i wklep po kolei te polecenia:

SC DELETE GGZ
SC DELETE SLZQUWD


2. Wyczyść kwarantanne + szczatki po ComboFix używając programu OTC

3. Wyłącz na chwile przywracanie systemu: KLIK

#5 spartan

spartan

    Second Rank

  • Na emeryturze
  • 111 postów

Napisano 04 08 2009 - 21:32

Wszystko zrobiłem tak jak napisałeś. Pozostaje teraz tylko problem Automatycznych Aktualizacji. Próbowałem sposobu z tego wątku HyperLink i w końcu mi się udało je naprawić.
Dziekuję za pomoc Landuss i pozdrawiam.




Użytkownicy przeglądający ten temat: 0

0 użytkowników, 0 gości, 0 anonimowych