Nietypowe procesy (alg.exe) i za duzo svhost po formacie

**Posty:** 17 · przez **majkel_vega** 05 Sie 2008, 21:41

Witam.
Umieszczam logi bo po stoczeniu walki z (prawdopodobnie) rootkitem i voondu antywiry nie nie wykrywaja (avast i arcamikro) ale nadal mam dziwne procesy i nie jestem pewnien czy format rozwiazał problem
Wstawiam logi

HiJack

Kod: Zaznacz wszystko: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:27:29, on 2008-08-05 Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Safe mode Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Documents and Settings\Administrator.MKW-9397F106537\Pulpit\HiJackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = R3 - Default URLSearchHook is missing O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe -- End of file - 1902 bytes

i Combofix

Kod: Zaznacz wszystko: ComboFix 08-08-04.06 - Administrator 2008-08-05 21:30:28.1 - [color=red][b]FAT32[/b][/color]x86 MINIMAL Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.173 [GMT 2:00] Running from: C:\Documents and Settings\Administrator.MKW-9397F106537\Pulpit\ComboFix.exe [color=red][b]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/b][/color] . ((((((((((((((((((((((((( Files Created from 2008-07-05 to 2008-08-05 ))))))))))))))))))))))))))))))) . 2008-08-05 21:02 . 2008-08-05 21:02 <DIR> d-------- C:\Program Files\Alwil Software 2008-08-05 21:02 . 2003-03-18 22:20 1,060,864 --a------ C:\WINDOWS\system32\MFC71.dll 2008-08-05 21:02 . 2003-03-18 21:14 499,712 --a------ C:\WINDOWS\system32\MSVCP71.dll 2008-08-05 21:02 . 2003-02-21 05:42 348,160 --a------ C:\WINDOWS\system32\MSVCR71.dll 2008-08-05 17:44 . 2008-08-04 18:10 <DIR> d--h----- C:\Documents and Settings\Administrator.MKW-9397F106537\Ustawienia lokalne 2008-08-05 17:44 . 2008-08-04 18:10 <DIR> d-------- C:\Documents and Settings\Administrator.MKW-9397F106537\Ulubione 2008-08-05 17:44 . 2008-08-04 18:10 <DIR> d--h----- C:\Documents and Settings\Administrator.MKW-9397F106537\Szablony 2008-08-05 17:44 . 2008-08-04 18:10 <DIR> d-------- C:\Documents and Settings\Administrator.MKW-9397F106537\Pulpit 2008-08-05 17:44 . 2008-08-04 18:10 <DIR> d-------- C:\Documents and Settings\Administrator.MKW-9397F106537\Moje dokumenty 2008-08-05 17:44 . 2008-08-04 18:10 <DIR> dr------- C:\Documents and Settings\Administrator.MKW-9397F106537\Menu Start 2008-08-05 17:44 . 2008-08-04 18:10 <DIR> dr-h----- C:\Documents and Settings\Administrator.MKW-9397F106537\Dane aplikacji 2008-08-05 17:44 . 2008-08-05 17:44 <DIR> d-------- C:\Documents and Settings\Administrator.MKW-9397F106537 2008-08-05 17:30 . 2008-08-04 18:10 <DIR> d--h----- C:\Documents and Settings\Administrator\Ustawienia lokalne 2008-08-05 17:30 . 2008-08-04 18:10 <DIR> d-------- C:\Documents and Settings\Administrator\Ulubione 2008-08-05 17:30 . 2008-08-04 18:10 <DIR> d--h----- C:\Documents and Settings\Administrator\Szablony 2008-08-05 17:30 . 2008-08-04 18:10 <DIR> d-------- C:\Documents and Settings\Administrator\Pulpit 2008-08-05 17:30 . 2008-08-04 18:10 <DIR> d-------- C:\Documents and Settings\Administrator\Moje dokumenty 2008-08-05 17:30 . 2008-08-04 18:10 <DIR> dr------- C:\Documents and Settings\Administrator\Menu Start 2008-08-05 17:30 . 2008-08-04 18:10 <DIR> dr-h----- C:\Documents and Settings\Administrator\Dane aplikacji 2008-08-05 17:30 . 2008-08-05 17:30 <DIR> d-------- C:\Documents and Settings\Administrator . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-08-04 17:39 --------- d-----w C:\Program Files\microsoft frontpage 2008-08-04 17:34 --------- d-----w C:\Program Files\Usługi online . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-03 22:44 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2008-07-19 16:38 78008] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-03 22:44 15360] [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= S1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-07-19 16:35] S2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-07-19 16:37] *Newly Created Service* - CATCHME . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-08-05 21:32:09 Windows 5.1.2600 Dodatek Service Pack 2 FAT NTAPI scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . Completion time: 2008-08-05 21:32:58 ComboFix-quarantined-files.txt 2008-08-05 19:32:56 Pre-Run: 18,332,352,512 bajtów wolnych Post-Run: 18,370,265,088 bajtów wolnych 65

Z gory dzieki za pomoc.

**Posty:** 8001 · przez **Okocza** 05 Sie 2008, 21:44

2 razy hj dałeś

combo - czekamy

**Posty:** 17 · przez **majkel_vega** 05 Sie 2008, 22:39

logi poprawione

**Posty:** 8001 · przez **Okocza** 05 Sie 2008, 22:51

majkel_vega napisał(a):nadal mam dziwne procesy

jakie te procesy - w logach czysto

**Posty:** 17 · przez **majkel_vega** 05 Sie 2008, 23:20

mam az 5 svhostow (chyba o trzy za duzo) i procesy dziwne (moim zdaniem)
np. alg.exe (w trybie awaryjnym nie wystepuje)
ale skoro ani w logach nic ani antywiry nic nie widza to chyba jest ok.
dzieki.

**Posty:** 8001 · przez **Okocza** 05 Sie 2008, 23:26

majkel_vega napisał(a):5 svhostow

dużo, ale w logach nie są opisane jako nic złego więc nie przejmuj się

majkel_vega napisał(a):alg.exe

w skrócie firewall w SP2

Wykonaj to co jest podane w tym temacie

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Przeskanuj komputer pod względem Trojanów tym programem
6. Wstaw na forum screen z zakładki uruchamianie (start – uruchom – msconfig – uruchamianie) może uda się cos wyrzucic stamtąd.

to wykonaj i będzie ok

zainstaluj jakiegoś NORMALNEGO antywirusa i będzie ok

(Kaspersky, Nod32

)

Autor postu otrzymał pochwałę

**Posty:** 17 · przez **majkel_vega** 06 Sie 2008, 00:11

majkel_vega napisał(a):alg.exe

w skrócie firewall w SP2

to sie wykazałem

dzieki optymalizacja trakcie