VIRY.CZ

takze moc dekuju za pomoc a straveny cas.
Zdraví Petr

Zdravím,
zase jsem tady.
Dokončil jsem odinstalaci ComboFix, Vypnutí obnovení sys. - restart - zapnutí obnovení sys., Sken pomocí MalwareByte.
log posílám tady, prosím o další pokyny (vypadá to už dobře):

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Verze databáze: 4334

Windows 6.1.7600 ...

omlouvam se ale dnes uz ve firme koncim, musim letet.
Napisu zitra jak to dopadlo.
zatim moc diky.
Petr

vypada ok, je tam pouze:

127.0.0.1 localhost

hosts už jde vidět

ty možné infikované stránky jsou taky v pořádku až na to že je tam místo http: --> hxxp: to je divné :(

tady je výpis z bootkitrem:

Bootkit Remover version 1.0.0.1
(c) 2009 eSage Lab
www.esagelab.com

\\.\C: -> \\.\PhysicalDrive0
MD5: bb4f1627d8b9beda49ac0d010229f3ff

Size Device Name MBR Status ...

všechno co píšeš je v pořádku.
Baťáky spoštěné přes GPO i nastavení proxy atd. je mi známé a je to v pořádku

takže ComboFix doběhl, posílám log.
ještě předtím než restartoval PC ukázal hlášku:
current registry file not found
ZDevice\HardDiskVolume2\Boot\BCD
restore this file --> povolil jsem to

zde je log:

ComboFix 10-07-20.03 - p807628 21.07.2010 14:46:15.1.2 - x86
Microsoft Windows 7 Professional 6.1 ...

ještě k tomu host-u
zkusil jsem vzít hosts z jiného (skoro identického PC) a nakopírovat do adresáře ../etc/
zařvalo mi to, že hosts tam už je ale nahradit ho mi to nedovolilo...

Spusím ComboFix..

spustil jsem ten bat jako správce ale stejně nic neprovedl - hosts tam nemám

Ta IP adresa je v pořádku - jedná se o firemní server

spustil jsem hostsperm.bat ale hosts se neobjevil
pokud jsem ten bat spustil z příkazového řádku, tak vypsal:
Opravdu to chceš (A/N)? - přístup byl odepřen C:\Windows\System32\Drivers\etc\hosts.
.. a ukončil se..

hosts tam stále nemám..

na tomto PC (Win7) soubor hosts není.
V uvedeném adresáři jsou pouze soubory:
lmhosts.sam
networks
protocol
services

posílám log z úplného skenu:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Verze databáze: 4334

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

21.7.2010 13:05:46
mbam-log-2010-07-21 (13-05-46).txt

Typ skenu: Úplný sken (C:\|)
Skenované objekty: 211899
Uplynulý čas: 23 minuta(y), 47 ...

my ve firmě používáme proxy server, takže jsem ho nastavil a update už se stahují.
jakmile provedu Úplný sken pošlu log.

a poslední část logu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\spoolcv.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\spoolsv32.exe ...