"win32.rungbu.a" po usunięciu pojawia się na nowo

**Posty:** 684 · przez **djarta** 20 Lut 2009, 21:27

Mała poprawka, Script powinnien wyglądać tak:

Kod: Zaznacz wszystko: File:: c:\windows\AhnRpta.exe C:\x2csvg.exe D:\x2csvg.exe G:\x2csvg.exe c:\windows\system32\afmain0.dll c:\windows\system32\afmain1.dll c:\windows\system32\afmain2.dll c:\windows\system32\afmain3.dll c:\windows\system32\drivers\531cf7a.sys c:\docume~1\x\USTAWI~1\Temp\Perflib_Perfdata_1ac.dat Registry:: [hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks] "{BB4C402F-882A-4526-8C08-51278EA437C1}"=- [-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\531cf7a]

Reszta bez zmian.

==========================
K.

**Posty:** 250 · przez **tenzin** 21 Lut 2009, 00:40

Dzięki za szybką reakcję!
Wszystkie pen-drivy, mp3 sformatowałem!.
Po przeskanowaniu combofixem uruchomiłem wwdc.

Log z combofixa:

Kod: Zaznacz wszystko: ComboFix 09-02-19.01 - x 2009-02-20 23:26:22.14 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1250.1.1045.18.511.262 [GMT 1:00] Uruchomiony z: c:\documents and settings\x\Pulpit\problem\ComboFix.exe Użyto następujących komend :: c:\documents and settings\x\Pulpit\problem\CFScript.txt * Utworzono nowy punkt przywracania UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !! FILE :: c:\docume~1\x\USTAWI~1\Temp\Perflib_Perfdata_1ac.dat c:\windows\AhnRpta.exe c:\windows\system32\afmain0.dll c:\windows\system32\afmain1.dll c:\windows\system32\afmain2.dll c:\windows\system32\afmain3.dll c:\windows\system32\drivers\531cf7a.sys C:\x2csvg.exe D:\x2csvg.exe G:\x2csvg.exe . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\windows\AhnRpta.exe c:\windows\system32\afmain0.dll c:\windows\system32\drivers\531cf7a.sys C:\x2csvg.exe D:\x2csvg.exe . ((((((((((((((((((((((((((((((((((((((( Sterowniki/Usługi ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Service_531cf7a ((((((((((((((((((((((((( Pliki utworzone od 2009-01-20 do 2009-02-20 ))))))))))))))))))))))))))))))) . 2009-02-20 16:35 . 2009-02-20 16:35 1,084 --a------ c:\windows\checkip.dat 2009-02-20 10:28 . 2009-02-20 10:28 <DIR> d-------- c:\program files\DIFX 2009-02-20 10:28 . 2007-03-14 22:55 25,792 --a------ c:\windows\system32\drivers\pnarp.sys 2009-02-20 10:27 . 2009-02-20 10:28 <DIR> d----c--- c:\windows\system32\DRVSTORE 2009-02-20 10:27 . 2009-02-20 10:27 <DIR> d-------- c:\program files\Pure Networks 2009-02-20 10:27 . 2009-02-20 10:27 <DIR> d-------- c:\program files\Common Files\Pure Networks Shared 2009-02-20 10:27 . 2009-02-20 10:27 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Pure Networks 2009-02-20 10:27 . 2007-03-14 22:55 26,944 --a------ c:\windows\system32\drivers\purendis.sys 2009-02-18 10:05 . 2001-08-17 20:11 66,591 --a------ c:\windows\system32\drivers\el90xbc5.sys 2009-02-18 10:05 . 2001-08-17 20:11 66,591 --a--c--- c:\windows\system32\dllcache\el90xbc5.sys 2009-02-15 10:32 . 2000-12-08 21:59 122,880 --a------ c:\windows\UnGins.exe 2009-02-06 17:52 . 2009-02-06 17:52 0 --a------ c:\windows\Pool.INI 2009-02-06 17:39 . 2009-02-06 17:39 <DIR> d--hs---- c:\windows\ftpcache 2009-02-06 08:44 . 2009-02-06 08:44 1,409 --a------ c:\windows\system32\tmp57589.FOT 2009-02-06 08:44 . 2009-02-06 08:44 1,409 --a------ c:\windows\system32\tmp50789.FOT 2009-02-06 08:44 . 2009-02-06 08:44 1,409 --a------ c:\windows\system32\tmp3C789.FOT 2009-02-06 08:44 . 2009-02-06 08:44 1,409 --a------ c:\windows\system32\tmp33689.FOT 2009-02-05 20:46 . 2009-02-05 20:46 1,409 --a------ c:\windows\system32\tmpE9827.FOT 2009-02-05 20:46 . 2009-02-05 20:46 1,409 --a------ c:\windows\system32\tmpA2927.FOT 2009-02-05 20:46 . 2009-02-05 20:46 1,409 --a------ c:\windows\system32\tmpA1A27.FOT 2009-02-05 20:46 . 2009-02-05 20:46 1,409 --a------ c:\windows\system32\tmp2A927.FOT 2009-02-05 20:45 . 2009-02-05 20:45 <DIR> d-------- c:\program files\Common Files\Sandlot Shared 2009-02-05 20:44 . 2009-02-05 20:44 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Sandlot Games 2009-02-05 20:35 . 2009-02-05 20:35 94 ---h----- c:\windows\system32\spv1_WCssg.ini 2009-02-05 20:25 . 2009-02-12 09:31 <DIR> d-------- c:\documents and settings\x\Dane aplikacji\Wildfire 2009-02-05 20:25 . 2009-02-05 20:25 4,096 --a------ c:\windows\d3dx.dat 2009-02-05 20:24 . 2009-02-05 20:24 <DIR> d-------- c:\documents and settings\x\Dane aplikacji\Incredible Ink 2009-02-05 20:19 . 2009-02-17 18:25 40 --a------ c:\windows\RSoftInfo.dat 2009-02-05 20:08 . 2009-02-06 17:29 <DIR> d-------- c:\documents and settings\x\Dane aplikacji\funkitron 2009-02-05 19:52 . 2009-02-05 19:52 <DIR> d-------- c:\documents and settings\x\Dane aplikacji\EA 2009-02-05 19:52 . 2009-02-05 19:52 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\EA 2009-02-05 19:51 . 2009-02-05 19:51 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Oberon Media 2009-02-05 14:57 . 2009-02-05 14:57 <DIR> d-------- c:\windows\SSMaui Wowee 2009-02-05 14:57 . 1999-02-16 08:02 49,664 --a------ c:\windows\SSMaui Wowee.scr 2009-02-05 14:55 . 2004-09-20 16:00 802,816 --a------ c:\windows\FeedingFrenzy.scr 2009-02-05 14:54 . 2005-01-07 11:39 57,344 --a------ c:\windows\system32\Big Kahuna Reef.scr 2009-02-05 14:53 . 2005-08-03 13:48 389,120 --a------ c:\windows\Adventure Inlay.scr 2009-02-03 20:37 . 2009-02-03 20:37 <DIR> d-------- c:\documents and settings\x\Dane aplikacji\Malwarebytes 2009-02-03 20:37 . 2009-02-03 20:37 <DIR> d-------- c:\documents and settings\All Users\Dane aplikacji\Malwarebytes 2009-02-03 20:31 . 2009-02-03 20:31 <DIR> d-------- C:\ERDNT 2009-02-03 20:31 . 2009-02-03 20:31 <DIR> d-------- C:\!FixIEDef 2009-01-27 12:06 . 2009-01-27 12:06 578,560 --a--c--- c:\windows\system32\dllcache\user32.dll 2009-01-27 11:56 . 2009-01-27 11:56 <DIR> d--h----- c:\windows\$hf_mig$ . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-02-15 09:50 163,644 ----a-w c:\windows\system32\drivers\secdrv.sys 2009-01-28 15:24 --------- d-----w c:\documents and settings\x\Dane aplikacji\U3 2009-01-16 18:04 1,390,730 ----a-w c:\windows\system32\AutoPartNt.exe 2009-01-16 18:04 --------- d-----w c:\documents and settings\All Users\Dane aplikacji\Acronis 2009-01-16 18:00 --------- d-----w c:\program files\Common Files\Acronis 2009-01-16 17:42 114,048 ----a-w c:\windows\system32\drivers\snapman.sys 2008-12-27 21:51 --------- d-----w c:\documents and settings\x\Dane aplikacji\Winamp5 2008-12-27 20:12 --------- d-----w c:\documents and settings\x\Dane aplikacji\BESTplayer . ((((((((((((((((((((((((((((( snapshot@2009-02-03_20.02.04,15 ))))))))))))))))))))))))))))))))))))))))) . + 2005-10-20 19:02:28 163,328 ----a-w c:\windows\erdnt\subs\ERDNT.EXE + 2009-02-20 09:28:17 27,006 ----a-r c:\windows\Installer\{371EBC04-8CED-4AEB-96F6-8184EAF340BC}\NmApp.exe + 2005-03-18 14:53:32 1,190,118 ----a-w c:\windows\SSMaui Wowee\SSMaui Wowee.exe + 2007-03-14 21:55:02 25,792 -c--a-w c:\windows\system32\DRVSTORE\pnarp_CE32619397E9E17D354203F459E8BFBBCF70F8F6\pnarp.sys + 2007-03-14 21:55:18 26,944 -c--a-w c:\windows\system32\DRVSTORE\purendis_FB4BB9375F46ADB40ED123AE87B2A8587C2EEB02\purendis.sys + 2007-03-14 14:45:20 487,424 ----a-w c:\windows\system32\msvcp70.dll + 2007-03-14 14:45:20 344,064 ----a-w c:\windows\system32\msvcr70.dll + 2005-09-22 22:48:08 479,232 ----a-w c:\windows\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.42_x-ww_0de06acd\msvcm80.dll + 2005-09-22 22:48:08 548,864 ----a-w c:\windows\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.42_x-ww_0de06acd\msvcp80.dll + 2005-09-22 22:48:06 626,688 ----a-w c:\windows\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.42_x-ww_0de06acd\msvcr80.dll . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "AQQ"="d:\program2\Wapster\AQQ\WAPSTE~1\AQQ.exe" [2008-12-22 1656832] "Google Update"="c:\documents and settings\x\Ustawienia lokalne\Dane aplikacji\Google\Update\GoogleUpdate.exe" [2008-09-03 133104] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "WinFast Schedule"="c:\program files\WinFast\WFTVFM\WFWIZ.exe" [2006-07-07 348160] "OSSelectorReinstall"="c:\program files\Common Files\Acronis\Acronis Disk Director\oss_reinstall.exe" [2007-03-09 2223985] "nmapp"="c:\program files\Pure Networks\Network Magic\nmapp.exe" [2007-03-14 321088] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-03 15360] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "aux"= ctwdm32.dll [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programy^Autostart^Exif Launcher.lnk] path=c:\documents and settings\All Users\Menu Start\Programy\Autostart\Exif Launcher.lnk backup=c:\windows\pss\Exif Launcher.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FineReader7NewsReaderPro] --a------ 2003-08-05 16:16 278528 d:\programy\abbyy\AbbyyNewsReader.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Google Update] --a----t- 2008-09-03 20:11 133104 c:\documents and settings\x\Ustawienia lokalne\Dane aplikacji\Google\Update\GoogleUpdate.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\InCD] --a------ 2006-11-10 16:19 1051648 d:\programy\nero\Nero 7\InCD\InCD.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LanguageShortcut] --a------ 2006-12-05 22:55 54832 d:\programy\CyberLink\PowerDVD\Language\Language.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck] --a------ 2006-01-12 14:40 155648 c:\program files\Common Files\Ahead\Lib\NeroCheck.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\REGSHAVE] --------- 2002-02-04 21:32 53248 c:\program files\REGSHAVE\REGSHAVE.EXE [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RemoteControl] --------- 2006-11-23 15:10 56928 d:\programy\CyberLink\PowerDVD\PDVDServ.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "d:\\Program2\\Wapster\\AQQ\\AQQ.exe"= "c:\\Program Files\\Gadu-Gadu\\gg.exe"= "c:\\Program Files\\Common Files\\Ahead\\Nero Web\\SetupX.exe"= "d:\\Programy\\Skype\\Phone\\Skype.exe"= "d:\\Program2\\eMule\\EMULE.EXE"= "c:\\WINDOWS\\system32\\sessmgr.exe"= "d:\\Program2\\Wapster\\AQQ\\WapSter AQQ\\AQQ.exe"= R2 NwSapAgent;Agent SAP;c:\windows\system32\svchost.exe -k netsvcs [2001-10-26 14336] R3 WFIOCTL;WFIOCTL;c:\program files\WinFast\WFTVFM\WFIOCTL.sys [2007-09-10 9446] . Zawartość folderu 'Zaplanowane zadania' 2009-02-20 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-842925246-436374069-1957994488-1003.job - c:\documents and settings\x\Ustawienia lokalne\Dane aplikacji\Google\Update\GoogleUpdate.exe [2008-09-03 20:11] . . ------- Skan uzupełniający ------- . uStart Page = about:blank DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab FF - ProfilePath - c:\documents and settings\x\Dane aplikacji\Mozilla\Firefox\Profiles\i7g7mm11.default\ FF - plugin: c:\documents and settings\x\Ustawienia lokalne\Dane aplikacji\Google\Update\1.2.141.5\npGoogleOneClick7.dll FF - plugin: d:\programy\adobe\Acrobat 7\Reader\browser\nppdf32.dll . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-02-20 23:29:30 Windows 5.1.2600 Dodatek Service Pack 2 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . --------------------- ZABLOKOWANE KLUCZE REJESTRU --------------------- [HKEY_USERS\S-1-5-21-842925246-436374069-1957994488-1003\Software\Microsoft\SystemCertificates\AddressBook*] @Allowed: (Read) (RestrictedCode) @Allowed: (Read) (RestrictedCode) . ------------------------ Pozostałe uruchomione procesy ------------------------ . d:\programy\nero\Nero 7\InCD\InCDsrv.exe c:\program files\CyberLink\Shared Files\RichVideo.exe c:\program files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe c:\windows\system32\wdfmgr.exe c:\program files\Pure Networks\Network Magic\nmsrvc.exe c:\windows\system32\devldr32.exe c:\windows\system32\wscntfy.exe d:\juc:\ComboFix\catchme.cfexe . ************************************************************************** . Czas ukończenia: 2009-02-20 23:33:01 - komputer został uruchomiony ponownie ComboFix-quarantined-files.txt 2009-02-20 22:32:15 ComboFix2.txt 2009-02-20 10:29:57 ComboFix3.txt 2009-02-03 19:03:49 ComboFix4.txt 2009-01-30 08:28:30 Przed: 1 395 613 696 bajtów wolnych Po: 1,365,716,992 bajtów wolnych 194

pozdrawiam,

**Posty:** 18165 · przez **wojtas** 21 Lut 2009, 13:07

1. Ściągnij OTMoveIt i go włacz i odpal go z opcji CleanUp

oraz skasuj folder C:\Qoobox
2. wykonaj optymalizację windowsa
3.sciagnij ATF_Cleaner
zaznacz
Windows Temp
All users Temp
Temporary internet files
Recycle Bin
i wcisnij EMPTY SELECTED
4.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
5. Wykonaj skan Dr. Web CureIt
6. Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum.

i tym:

FixIEDef.

**Posty:** 250 · przez **tenzin** 21 Lut 2009, 23:34

Zrobiłem co trzeba...

Dr Web (pliki zainfekowane kazałem wyleczyć lub jeśli to niemożliwe usunąć)

Kod: Zaznacz wszystko: slghex.dll;C:\Program Files\Common Files\Sandlot Shared;Adware.SpywareStorm;Nazwa została zmieniona.; semsms.exe;D:\Program2\Gadu-Gadu\plugs;Prawdopodobnie DLOADER.Trojan;Niewyleczalny.Usunięty.; SlgClientServicesRedists.exe\data002;D:\Programs\GameHouse\Granny in Paradise\SlgClientServicesRedists.exe;Adware.SpywareStorm;; SlgClientServicesRedists.exe;D:\Programs\GameHouse\Granny in Paradise;Archiwum zawierające zainfekowane obiekty;Przeniesiony.; A0004996.exe\data002;D:\System Volume Information\_restore{6303CC6F-A9A2-4AA9-B4B3-9D49654A82AE}\RP30\A0004996.exe;Adware.SpywareStorm;; A0004996.exe;D:\System Volume Information\_restore{6303CC6F-A9A2-4AA9-B4B3-9D49654A82AE}\RP30;Archiwum zawierające zainfekowane obiekty;Przeniesiony.;

Kaspersky: NIE wykrył żadnego zagrożenia

FixIEDef

Kod: Zaznacz wszystko: ******************************************************************************** * * * FixIEDef Log * * Version 1.7.22.7458 * * * ******************************************************************************** Created at 22:21:32 on Saturday, February 21, 2009 Time Zone : Logged On User : x Operating System : Microsoft Windows XP Professional Dodatek Service Pack 2 OS Architecture : X86 System Langauge : Polish Keyboard Layout : Polish Processor : X86 AMD Athlon(tm) XP processor 1800+ System Drive : C:\ Windows Directory : C:\WINDOWS System Directory : C:\WINDOWS\system32 System Drive Type : Fixed System Drive Status : READY System Drive Label : System Drive Size : 4.41 GB System Drive Free : 1.38 GB Total Physical Memory: 511 MB Free Physical Memory : 320 MB Total Page File : 511 MB Free Page File : 1060 MB Total Virtual Memory : 2048 MB Free Virtual Memory : 1971 MB Boot State : Normal boot -------------------------------------------------------------------------------- !!! userinit.exe is Clean !!! -------------------------------------------------------------------------------- !!! Files that have been deleted !!! No malicious files found -------------------------------------------------------------------------------- !!! Directories that have been removed !!! No malicious directories to be removed -------------------------------------------------------------------------------- !!! Registry entries that have been removed !!! No malicious Registry entries found ================================================================================ All Done :) ShadowPuterDude Safe Surfing!!!

Czy wszystko już, ok?
pozdrawiam,

**Posty:** 18165 · przez **wojtas** 22 Lut 2009, 12:32

wiec jest ok

**Posty:** 250 · przez **tenzin** 22 Lut 2009, 16:58

wojtas napisał(a):wiec jest ok

bardzo dziękuję za pomoc!!
pozdrawiam,