Zawirusowany komp

[17rafal]

Witam, sciagnalem dzsiaj jakis program na kompa, jak go odpalilem, komputer zaczal wariowac(zapelniony pasek zadan, czerwona tapeta z jakims znakiem i napisem, przemieszanie ikon na pulpicie, itd). jak zrobilem restarta to niby wszystko wrocilo do normy, ale wlanczal mi sie skan wirusow(chyba ten od windowsa) wykrywal trojany ale nie mogl ich usunac, wszedlem na to forum i sciagnalem SmitfraudFix odpalilem z 2 albo 3 nie pamietam dokladnie. Teraz jest niby wszystko dobrze, ale chcialbym sie upewnic, czy na pewno tak jest. Po tym jak mi sie przemieszaly ikony na pulpicie, wydaje sie ich mniej, mozna jakos sprawdzic czy jakies zostaly usuniete przez te wirusy? I jeszcze jedno na pulpicie pojawila mi sie ikona "Vista Antivirus 2008"(to sie wlanczalo wraz z kompem po restarcie) mozna to usunac, skad sie mogla wziac?
link do ComboFix
http://wklej.org/hash/31f0217bd2
hijackthis

Kod: Zaznacz wszystko

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:38:55, on 2008-08-20
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Firebird\Firebird_1_5\bin\fbguard.exe
C:\Program Files\PC Tools AntiVirus\PCTAVSvc.exe
C:\WINDOWS\System32\PnkBstrA.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\PowerISO\PWRISOVM.EXE
C:\Program Files\PC Tools AntiVirus\PCTAV.exe
C:\Program Files\Firebird\Firebird_1_5\bin\fbserver.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\AutoConnect\AutoConnect.exe
C:\Program Files\Common Files\Teleca Shared\Generic.exe
C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe
E:\Programy\Gadu-Gadu\gg.exe
C:\Program Files\Eurobarre\eb.exe
E:\brre\BarreDeSurf\SmartBarreV1.2.exe
C:\Documents and Settings\Rafal\Ustawienia lokalne\Apps\2.0\J6AK1NWQ.CDM\Z8M5OLDR.WC7\pack..tion_327fe5f622394256_0001.0001_5712cbfd7edfbede\PackBarre.exe
E:\brre\EC-Barre.exe
C:\Documents and Settings\Rafal\Pulpit\EA Barre.exe
C:\Program Files\Opera\Opera.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL (file missing)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - E:\Program Files\BitComet\tools\BitCometBHO_1.1.2.7.dll
O2 - BHO: MEGAUPLOADTOOLBAR - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Internet Security Class - {A75E294E-C047-4D29-B07E-37B792881BEF} - C:\WINDOWS\AutoUpdateWin31.dll (file missing)
O3 - Toolbar: MEGAUPLOADTOOLBAR - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Resume copy] copyfstq.exe /startup
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 -lock
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Program Files\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [Anti Trojan Elite] C:\Program Files\Anti Trojan Elite\TJEnder.exe :NO
O4 - HKLM\..\Run: [PCTAVApp] "C:\Program Files\PC Tools AntiVirus\PCTAV.exe" /MONITORSCAN
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [Secure] C:\WINDOWS\WindowsUpdates.exe
O4 - HKLM\..\Run: [\SUE26D.exe] C:\Windows\SUE26D.exe
O4 - HKLM\..\Run: [\SUE26E.exe] C:\Windows\SUE26E.exe
O4 - HKLM\..\Run: [\SUE26F.exe] C:\Windows\SUE26F.exe
O4 - HKLM\..\Run: [\SUE270.exe] C:\Windows\SUE270.exe
O4 - HKLM\..\Run: [\SUE271.exe] C:\Windows\SUE271.exe
O4 - HKLM\..\Run: [Outpost Firewall] "C:\Program Files\Agnitum\Outpost Firewall\outpost.exe" /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] C:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [AutoConnect] C:\Program Files\AutoConnect\AutoConnect.exe
O4 - HKCU\..\Run: [\SUE26D.exe] C:\Windows\SUE26D.exe
O4 - HKCU\..\Run: [\SUE26E.exe] C:\Windows\SUE26E.exe
O4 - HKCU\..\Run: [\SUE26F.exe] C:\Windows\SUE26F.exe
O4 - HKCU\..\Run: [\SUE270.exe] C:\Windows\SUE270.exe
O4 - HKCU\..\Run: [\SUE271.exe] C:\Windows\SUE271.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Eurobarre.lnk = C:\Program Files\Eurobarre\eb.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Download all links using BitComet - res://E:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Download all videos using BitComet - res://E:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: Download link using &BitComet - res://E:\Program Files\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://E:\Programy\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Szybkie dostosowywanie programu Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\Programy\MICROS~1\OFFICE11\REFIEBAR.DLL
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {631FF594-EC25-4CFF-B869-402DF294E1D6} (Instalator oprogramowania Onet.pl) - http://slimak.onet.pl/_m/kamerzysta/OnetInstalator012s.ocx
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {FDDBE2B8-6602-4AD8-946D-94C5A32FA6C5} (GameDesire Snooker) - http://download.gamedesire.com/g_bin/pl/snooker_2_0_0_35.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3980F47C-DED6-4F68-8178-5F1D94423FA7}: NameServer = 194.204.159.1 217.98.63.164
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Firebird Guardian - DefaultInstance (FirebirdGuardianDefaultInstance) - The Firebird Project - C:\Program Files\Firebird\Firebird_1_5\bin\fbguard.exe
O23 - Service: Firebird Server - DefaultInstance (FirebirdServerDefaultInstance) - The Firebird Project - C:\Program Files\Firebird\Firebird_1_5\bin\fbserver.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: PC Tools AntiVirus Engine (PCTAVSvc) - PC Tools Research Pty Ltd - C:\Program Files\PC Tools AntiVirus\PCTAVSvc.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\System32\PnkBstrA.exe
O23 - Service: Windows Accounts Driver (WindowsRemote) - Unknown owner - C:\WINDOWS\System32\down.exe (file missing)
O23 - Service: Windows_ServerDdos - Unknown owner - C:\WINDOWS\System32\user.exe
O23 - Service: Media (wmplayer) - Unknown owner - C:\WINDOWS\System32\wmplayer.exe (file missing)

--
End of file - 9241 bytes


[huber2t]

fix w hijackthis

O2 - BHO: Internet Security Class - {A75E294E-C047-4D29-B07E-37B792881BEF} - C:\WINDOWS\AutoUpdateWin31.dll (file missing)
O4 - HKLM\..\Run: [Secure] C:\WINDOWS\WindowsUpdates.exe
O4 - HKLM\..\Run: [\SUE26D.exe] C:\Windows\SUE26D.exe
O4 - HKLM\..\Run: [\SUE26E.exe] C:\Windows\SUE26E.exe
O4 - HKLM\..\Run: [\SUE26F.exe] C:\Windows\SUE26F.exe
O4 - HKLM\..\Run: [\SUE270.exe] C:\Windows\SUE270.exe
O4 - HKLM\..\Run: [\SUE271.exe] C:\Windows\SUE271.exe

Otwórz notatnik i wklej do niego:

Kod: Zaznacz wszystko

File::
C:\WINDOWS\WindowsUpdates.exe
C:\Windows\SUE26D.exe
C:\Windows\SUE26E.exe
C:\Windows\SUE26F.exe
C:\Windows\SUE270.exe
C:\Windows\SUE271.exe

Driver::
Windows_ServerDdos


Plik -> zapisz jako -> CFScript.txt.
Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu->

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na wklej.eu , http://wklejto.pl lub na http://wklej.org a w poście dajesz tylko link

Na drugi raz podaj hasło do logu combofix

[17rafal]

Tego nie bylo

O2 - BHO: Internet Security Class - {A75E294E-C047-4D29-B07E-37B792881BEF} - C:\WINDOWS\AutoUpdateWin31.dll (file missing)
O4 - HKLM\..\Run: [Secure] C:\WINDOWS\WindowsUpdates.exe
O4 - HKLM\..\Run: [\SUE26D.exe] C:\Windows\SUE26D.exe
O4 - HKLM\..\Run: [\SUE26E.exe] C:\Windows\SUE26E.exe
O4 - HKLM\..\Run: [\SUE26F.exe] C:\Windows\SUE26F.exe
O4 - HKLM\..\Run: [\SUE270.exe] C:\Windows\SUE270.exe
O4 - HKLM\..\Run: [\SUE271.exe] C:\Windows\SUE271.exe

nowy log zrobiony tak jak kazano w posie wyzej
http://wklej.org/id/114/

ponownie log z HijackThis
http://wklej.org/id/115/

i jeszcze raz pierwszy log z combofixa, bo z tego co rozumiem tamtego nie mozna bylo otrzorzyc
http://wklej.org/id/116/

Tak dodatkowo jeszcze skad brac te halo na http://wklej.org, bo tam mi sie nigdzie nie pokazalo, tylko napisane ze jest chronione haslem, ale jak ja otwieralem to pokazywalo, dlatego wrzucilem, a sie okazalo ze nie mozna

[djarta]

Wklej do Notatnika:

Kod: Zaznacz wszystko

File::
C:\WINDOWS\system32\VCCLSID.exe
C:\WINDOWS\system32\SrchSTS.exe
C:\WINDOWS\system32\VACFix.exe
C:\WINDOWS\system32\IEDFix.exe
C:\WINDOWS\system32\IEDFix.C.exe
C:\WINDOWS\system32\404Fix.exe
C:\WINDOWS\system32\Process.exe
C:\WINDOWS\system32\dumphive.exe
C:\WINDOWS\system32\WS2Fix.exe
C:\WINDOWS\isRS-000.tmp
C:\WINDOWS\tqwolser.exe
C:\WINDOWS\AutoUpdateWin32.exe
C:\WINDOWS\AutoUpdateWin33.exe

Driver::
Windows_ServerDdos
WindowsRemote
gAGP440p
mssysroot
bannerboard

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Resume copy"=-


>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->
Ma się rozpocząć usuwanie. (i powstanie log).Daj ten log, który powstanie w trakcie usuwania.
Jeśli pójdzie dobrze, to: Po restarcie usuń ręcznie folder C:\Qoobox.

======================
K.

[17rafal]

Zrobione, folder usuniety
Po tym przeciagnieciu i upuszczeniu na combofix usuwanie sie wlaczylo i powsatl ten log:
http://wklej.org/id/131/

Dac loga z HijackThis, czy tam jest OK?

[huber2t]

Log wyglada na czysty

usuń ręcznie folder C: \Qoobox , usuń instalkę Combofix z dysku.

Przeczyść komputer Ccleanerem

Wykonaj optymalizację autostartu

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum

lub

Dr.WEB CureIt!

[djarta]

C:\WINDOWS\system32\tmp.reg

Usuń ten plik ręcznie.

=======================
K.

[17rafal]

zrobilem skanowanie Dr.WEB CureIt!, bo kaspersky za dlugo robil
tu jest ten rapoty, nie jestem pewny czy o to chodzilo, ale innego nie zdobylem http://wklej.org/id/337/

[Okocza]

Przeskanuj komputer pod względem Trojanów tym programem

[17rafal]

przeskanowalem, oto log z tego programu: http://wklej.org/id/373/

[djarta]

Usunął jeden plik, jak sytuacja?


==============================
K .

[17rafal]

Jezeli "u was"- w logach jest wszystko dobrze, to u mnie tym bardziej, komp chodzi dobrze, musze jeszcze tylko zrobic optymalizację autostartu, co mi kazaliscie wczesniej, ale to jak znajde wiecej czasu. Dzieki wielkie za pomoc