NIS hlásí: WS malware.2.+ kontrola logu

[danny12]

Dobrý večer. Mám tento problém. Autoprotect NIS 2011 mě našel 24.12.2011 Trojan Gen2./viz. obr.1/ Nevím, zda to spolu přímo souvisí, ale od té doby se mi vždy po startu Windows objeví hláška NIS "Aplikace auto-protect zpracovává bezpečnostní riziko WS.malware.2. /viz obr.2/, v historii pak najdu pouze zablokovaný pokus o neautorizované připojení /viz obr3/. V historii NISu se však o žádném vyřešeném/nevyřešeném případu malware nic nepíše. Co s tím? Pro jistotu zasílám i log z Hijack This /příloha 2/. Zkoušel jsem čistit jak NIS, tak Spyboot a Superantispyware..a nic. Poradíte ? Díky



Uploaded with ImageShack.us

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:35:47, on 27.12.2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\SUPERAntiSpyware\SASCORE.EXE
C:\Program Files\APC\APC PowerChute Personal Edition\mainserv.exe
C:\Program Files\Rainlendar\Rainlendar.exe
C:\Program Files\Norton Internet Security\Engine\19.2.0.10\ccSvcHst.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\APC\APC PowerChute Personal Edition\dataserv.exe
C:\Program Files\Norton Internet Security\Engine\19.2.0.10\ccSvcHst.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://seznam.cz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: WebTransBHO Class - {2DB66063-BB98-466A-AA0D-3E7ACF5ED853} - C:\Documents and Settings\All Users\Data aplikací\LangSoft\WebIE.dll
O2 - BHO: Canon Easy-WebPrint EX BHO - {3785D0AD-BFFF-47F6-BF5B-A587C162FED9} - C:\Program Files\Canon\Easy-WebPrint EX\ewpexbho.dll
O2 - BHO: Norton Identity Protection - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Norton Internet Security\Engine\19.2.0.10\coIEPlg.dll
O2 - BHO: Norton Vulnerability Protection - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\Program Files\Norton Internet Security\Engine\19.2.0.10\IPS\IPSBHO.DLL
O2 - BHO: Pomocník pro přihlášení ke službě Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Canon Easy-WebPrint EX - {759D9886-0C6F-4498-BAB6-4A5F47C6C72F} - C:\Program Files\Canon\Easy-WebPrint EX\ewpexhlp.dll
O3 - Toolbar: WebTranslator - {BFC32E1D-EE75-4A48-BC60-104E11EE2431} - C:\Documents and Settings\All Users\Data aplikací\LangSoft\WebIE.dll
O3 - Toolbar: Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Norton Internet Security\Engine\19.2.0.10\coIEPlg.dll
O4 - HKLM\..\Run: [RivaTunerStartupDaemon] "C:\Program Files\RivaTuner v2.24 MSI Master Overclocking Arena 2009 edition\RivaTuner.exe" /S
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748452} - C:\Documents and Settings\All Users\Data aplikací\LangSoft\WebIE.dll
O9 - Extra 'Tools' menuitem: Přeložit &stránku - {CC963627-B1DC-40E0-B52A-CF21EE748452} - C:\Documents and Settings\All Users\Data aplikací\LangSoft\WebIE.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/pub/s ... wflash.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL
O23 - Service: SAS Core Service (!SASCORE) - SUPERAntiSpyware.com - C:\Program Files\SUPERAntiSpyware\SASCORE.EXE
O23 - Service: APC Data Service - American Power Conversion Corporation - C:\Program Files\APC\APC PowerChute Personal Edition\dataserv.exe
O23 - Service: APC UPS Service - American Power Conversion Corporation - C:\Program Files\APC\APC PowerChute Personal Edition\mainserv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Norton Internet Security (NIS) - Symantec Corporation - C:\Program Files\Norton Internet Security\Engine\19.2.0.10\ccSvcHst.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: Sandboxie Service (SbieSvc) - SANDBOXIE L.T.D - C:\Program Files\Sandboxie\SbieSvc.exe
O23 - Service: ScsiAccess - Unknown owner - C:\Program Files\Photodex\ProShowProducer\ScsiAccess.exe
O23 - Service: ServiceLayer - Nokia - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: TightVNC Server (tvnserver) - GlavSoft LLC. - C:\Program Files\TightVNC\tvnserver.exe

--
End of file - 6653 bytes

[Rudy]

Zdravím!
Norton smazal, co měl. Ještě vyčistíme od zbytečností. Spusťte znovu Hijackthis a v otevřeném okně ve čteverčcích zaškrtněte:

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/pub/s ... wflash.cab

a klikněte na >Fix checked<. Restartujte PC

[danny12]

Dobrý večer, díky za reakci. Vámi navrhované kroky jsem provedl, bohužel, po restartu se opět zjevily obě chyby č.2 a 3 na obrázku.. Poprosím o nějaký další postup..
P.S. omlouvám se za zpoždění, musel jsem nutně vyvenčit psa

[Rudy]

Dejte log z ComboFix.

Stahnete a ulozte nejlepe na plochu ComboFix: http://download.bleepingcomputer.com/sUBs/ComboFix.exe

pote spustte aplikaci pod uctem s administratorskym opravnenim

hned po startu se zobrazi obrazovka s licencnimi podminkami, pokracujte kliknutim na tlacitko Ano.

v klidu si postavte na kafe (cela akce trva cca. 5-10 minut, nekdy i dele - dle toho, o jak rychly stroj se

jedna a kolika soubory se skener bude muset prodirat), behem skenu se nepokousejte spoustet zadne jine

aplikace ani nic jineho

behem skenovani nepropadejte panice, vas stroj muze byt restartovan (predevsim pri prvni aplikaci skeneru)

upozorneni: pokud pouzivate antispyware s rezidentnim stitem, prepnete jeho rezidentni stit do Install Mode,

pripadne jej po dobu skenu uplne deaktivujte, protoze dochazi pri skenu a vymazu pripadneho malware k

nezadoucim kolizim s rezidentem antispyware

[danny12]

Tady je ten log:
ComboFix 11-12-27.01 - DanRad 27.12.2011 20:25:52.1.2 - x86
Spuštěný z: c:\documents and settings\DanRad\Plocha\ComboFix.exe
.
.
((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\documents and settings\DanRad\WINDOWS
c:\windows\pkunzip.pif
c:\windows\pkzip.pif
c:\windows\settings.reg
c:\windows\system32\TZLog.log
c:\windows\XSxS
.
.
((((((((((((((((((((((((( Soubory vytvořené od 2011-11-27 do 2011-12-27 )))))))))))))))))))))))))))))))
.
.
2011-12-27 16:58 . 2011-12-27 16:58 -------- d-----w- C:\rsit
2011-12-27 15:50 . 2011-12-27 16:01 -------- d-----w- C:\fixwareout
2011-12-26 18:24 . 2011-12-26 18:24 -------- d-----w- c:\documents and settings\All Users\Data aplikací\Freemake
2011-12-26 18:24 . 2011-12-26 18:24 -------- d-----w- c:\program files\Freemake
2011-12-26 11:56 . 2011-12-26 12:05 -------- d-----w- c:\documents and settings\DanRad\Local Settings\Data aplikací\NPE
2011-12-26 11:15 . 2011-12-26 11:16 -------- d-----w- c:\documents and settings\Administrator
2011-12-26 11:05 . 2011-12-26 11:05 -------- d-----w- c:\documents and settings\DanRad\Data aplikací\SUPERAntiSpyware.com
2011-12-26 11:04 . 2011-12-26 11:05 -------- d-----w- c:\program files\SUPERAntiSpyware
2011-12-26 11:04 . 2011-12-26 11:04 -------- d-----w- c:\documents and settings\All Users\Data aplikací\SUPERAntiSpyware.com
2011-12-24 09:38 . 2011-12-24 09:38 -------- d-----w- c:\program files\TeaTimer (Spybot - Search & Destroy)
2011-12-24 09:38 . 2011-12-24 09:38 -------- d-----w- c:\program files\Misc. Support Library (Spybot - Search & Destroy)
2011-12-24 09:38 . 2011-12-24 09:38 -------- d-----w- c:\program files\SDHelper (Spybot - Search & Destroy)
2011-12-24 09:38 . 2011-12-24 09:38 -------- d-----w- c:\program files\File Scanner Library (Spybot - Search & Destroy)
2011-12-23 14:49 . 2011-12-23 14:49 -------- d-----w- c:\program files\JoWooD
2011-12-22 20:16 . 2011-12-21 07:39 121816 ----a-w- c:\program files\Mozilla Firefox\components\browsercomps.dll
2011-12-22 16:21 . 2011-12-22 16:21 192644 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\10\50\Intel32\iGdi.dll
2011-12-22 16:21 . 2004-10-22 01:18 749568 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\10\50\Intel32\iKernel.dll
2011-12-22 16:21 . 2004-10-22 01:17 69715 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\10\50\Intel32\ctor.dll
2011-12-22 16:21 . 2004-10-22 01:17 274432 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\10\50\Intel32\iscript.dll
2011-12-22 16:21 . 2004-10-22 01:16 180224 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\10\50\Intel32\iuser.dll
2011-12-22 16:21 . 2004-10-22 01:16 5632 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\10\50\Intel32\DotNetInstaller.exe
2011-12-22 16:21 . 2011-12-22 16:21 323716 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\10\50\Intel32\setup.dll
2011-12-22 15:57 . 2011-12-23 09:46 -------- d-----w- c:\program files\Hry
2011-12-21 16:34 . 2011-12-21 07:39 43992 ----a-w- c:\program files\Mozilla Firefox\mozutils.dll
2011-12-21 16:34 . 2011-12-21 04:29 626688 ----a-w- c:\program files\Mozilla Firefox\msvcr80.dll
2011-12-21 16:34 . 2011-12-21 04:29 548864 ----a-w- c:\program files\Mozilla Firefox\msvcp80.dll
2011-12-21 16:34 . 2011-12-21 04:29 479232 ----a-w- c:\program files\Mozilla Firefox\msvcm80.dll
2011-12-19 16:52 . 2011-12-19 16:52 -------- d-----w- c:\documents and settings\DanRad\Data aplikací\XnConvert
2011-12-18 08:38 . 2009-12-16 12:12 85392 ----a-w- c:\windows\system32\Erasext.dll
2011-12-18 08:38 . 2009-12-16 12:12 75152 ----a-w- c:\windows\system32\Eraserl.exe
2011-12-18 08:38 . 2009-12-16 12:12 315280 ----a-w- c:\windows\system32\Eraser.dll
2011-12-18 08:38 . 2011-12-18 08:38 -------- d-----w- c:\program files\Eraser
2011-12-18 08:18 . 2011-12-18 08:19 -------- d-----w- c:\documents and settings\Guest
2011-12-18 08:01 . 2008-06-08 21:58 60273 ----a-w- c:\windows\system32\pthreadGC2.dll
2011-12-18 08:01 . 2009-08-17 08:54 1184984 ----a-w- c:\windows\system32\wvc1dmod.dll
2011-12-18 06:46 . 2011-12-18 08:17 -------- d-----w- c:\documents and settings\Dada
2011-12-18 06:32 . 2011-12-18 06:32 -------- d-----w- c:\documents and settings\DanRad\Local Settings\Data aplikací\Eraser 6
2011-12-17 10:39 . 2011-12-17 10:39 -------- d-----w- c:\documents and settings\LocalService\Local Settings\Data aplikací\Google
2011-12-14 19:52 . 2011-12-17 07:20 -------- d-----w- c:\documents and settings\DanRad\Data aplikací\ArcSoft
2011-12-14 19:51 . 2011-12-14 19:52 -------- d-----w- c:\documents and settings\All Users\Data aplikací\ArcSoft
2011-12-14 19:51 . 2011-12-14 19:51 -------- d-----w- c:\documents and settings\DanRad\Local Settings\Data aplikací\ArcSoft
2011-12-14 19:51 . 2011-12-14 19:51 -------- d-----w- c:\program files\Common Files\ArcSoft
2011-12-14 19:51 . 2011-12-14 19:51 -------- d-----w- c:\program files\ArcSoft
2011-12-12 18:16 . 2011-12-26 18:29 -------- d-----w- c:\documents and settings\DanRad\Data aplikací\Media Player Classic
.
.
.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-12-18 10:33 . 2011-05-14 09:14 414368 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2011-12-10 08:47 . 2011-04-24 16:52 321955 ----a-w- c:\documents and settings\DanRad\Data aplikací\mdbu.bin
2011-11-23 14:40 . 2006-03-02 12:00 1859584 ----a-w- c:\windows\system32\win32k.sys
2011-11-11 15:05 . 2011-11-11 15:04 239168 ----a-w- c:\windows\system32\drivers\dtsoftbus01.sys
2011-11-04 19:13 . 2006-03-02 12:00 916992 ----a-w- c:\windows\system32\wininet.dll
2011-11-04 19:13 . 2006-03-02 12:00 43520 ------w- c:\windows\system32\licmgr10.dll
2011-11-04 19:13 . 2006-03-02 12:00 1469440 ------w- c:\windows\system32\inetcpl.cpl
2011-11-04 11:23 . 2006-03-02 12:00 385024 ------w- c:\windows\system32\html.iec
2011-11-01 16:07 . 2006-03-02 12:00 1288192 ----a-w- c:\windows\system32\ole32.dll
2011-10-29 08:30 . 2011-10-29 08:30 161741 ----a-w- c:\windows\DP Animation Maker Uninstaller.exe
2011-10-28 05:32 . 2006-03-02 12:00 33280 ----a-w- c:\windows\system32\csrsrv.dll
2011-10-26 10:49 . 2006-03-02 12:00 2150912 ----a-w- c:\windows\system32\ntoskrnl.exe
2011-10-26 10:49 . 2004-08-17 15:45 2029056 ----a-w- c:\windows\system32\ntkrnlpa.exe
2011-10-23 16:51 . 2011-02-15 12:46 14454784 ----a-w- c:\windows\system32\common_res.dll
2011-10-22 18:01 . 2011-04-24 11:25 231376 ----a-w- c:\windows\system32\drivers\truecrypt.sys
2011-10-18 11:13 . 2006-03-02 12:00 186880 ----a-w- c:\windows\system32\encdec.dll
2011-10-10 14:22 . 2011-04-23 19:56 692736 ----a-w- c:\windows\system32\inetcomm.dll
2011-12-21 07:39 . 2011-12-22 20:16 121816 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RivaTunerStartupDaemon"="c:\program files\RivaTuner v2.24 MSI Master Overclocking Arena 2009 edition\RivaTuner.exe" [2009-08-22 2781184]
.
c:\documents and settings\DanRad\Nabídka Start\Programy\Po spuštění\
Rainlendar.lnk - c:\program files\Rainlendar\Rainlendar.exe [2006-1-21 118784]
.
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2011-07-19 113024]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2011-05-04 17:54 551296 ----a-w- c:\program files\SUPERAntiSpyware\SASWINLO.DLL
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\!SASCORE]
@=""
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WudfSvc]
@="Service"
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^APC UPS Status.lnk]
backup=c:\windows\pss\APC UPS Status.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^PHOTOfunSTUDIO 5.0 HD Edition.lnk]
backup=c:\windows\pss\PHOTOfunSTUDIO 5.0 HD Edition.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Windows Search.lnk]
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FlashPlayerUpdate
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ScanRegistry
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BluetoothAuthenticationAgent]
2008-04-14 06:52 110592 ----a-w- c:\windows\system32\bthprops.cpl
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CanonMyPrinter]
2010-03-25 02:50 2516296 ----a-w- c:\program files\Canon\MyPrinter\BJMYPRT.EXE
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CanonSolutionMenuEx]
2010-04-02 08:18 1185112 ----a-w- c:\program files\Canon\Solution Menu EX\CNSEMAIN.EXE
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe]
2008-04-14 06:52 15360 ----a-w- c:\windows\system32\ctfmon.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite]
2011-11-10 09:17 3514176 ----a-w- c:\program files\DAEMON Tools Lite\DTLite.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Display]
2010-09-14 14:53 271736 ----a-w- c:\program files\APC\APC PowerChute Personal Edition\DataCollectionLauncher.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Eraser]
2009-12-16 12:12 337808 ----a-w- c:\program files\Eraser\Eraser.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IMJPMIG8.1]
2008-04-13 20:13 208952 ----a-w- c:\windows\ime\imjp8_1\imjpmig.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KeePass 2 PreLoad]
2011-10-19 09:13 1807360 ----a-w- c:\program files\KeePass Password Safe 2\KeePass.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SandboxieControl]
2011-10-12 14:11 438544 ----a-w- c:\program files\Sandboxie\SbieCtrl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMax]
2006-04-10 07:19 729088 ----a-w- c:\program files\Analog Devices\SoundMAX\SMax4.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]
2010-02-10 21:32 61440 ----a-w- c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\TightVNC\\tvnserver.exe"=
"c:\\Program Files\\TightVNC\\vncviewer.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\Java\\jre6\\launch4j-tmp\\frd.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"d:\\Hry\\Cossacks - The Art Of War\\dmcr.exe"=
"c:\\Program Files\\Common Files\\Nokia\\Service Layer\\A\\nsl_host_process.exe"=
"c:\\Program Files\\Nokia\\Nokia Software Updater\\nsu_ui_client.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"d:\\Downloady\\1.Programy\\ProgrPortabl\\SkypePortable\\App\\Skype\\Phone\\Skype.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009
"5900:TCP"= 5900:TCP:VNC
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)
.
R0 SymDS;Symantec Data Store;c:\windows\system32\drivers\NIS\1302000.00A\symds.sys [8.11.2011 21:36 340088]
R0 SymEFA;Symantec Extended File Attributes;c:\windows\system32\drivers\NIS\1302000.00A\symefa.sys [8.11.2011 21:36 897656]
R1 BHDrvx86;BHDrvx86;c:\documents and settings\All Users\Data aplikací\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_19.1.0.28\Definitions\BASHDefs\20111221.003\BHDrvx86.sys [22.12.2011 6:49 819320]
R1 ccSet_NIS;Norton Internet Security Settings Manager;c:\windows\system32\drivers\NIS\1302000.00A\ccsetx86.sys [8.11.2011 21:36 132744]
R1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\sasdifsv.sys [22.7.2011 17:27 12880]
R1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.SYS [12.7.2011 22:55 67664]
R1 SymIRON;Symantec Iron Driver;c:\windows\system32\drivers\NIS\1302000.00A\ironx86.sys [8.11.2011 21:36 149624]
R2 !SASCORE;SAS Core Service;c:\program files\SUPERAntiSpyware\SASCore.exe [12.8.2011 0:38 116608]
R2 APC Data Service;APC Data Service;c:\program files\APC\APC PowerChute Personal Edition\dataserv.exe [14.9.2010 15:54 21880]
R2 Iprip;Naslouchání RIP;c:\windows\System32\svchost.exe -k netsvcs [2.3.2006 13:00 14336]
R2 NIS;Norton Internet Security;c:\program files\Norton Internet Security\Engine\19.2.0.10\ccsvchst.exe [8.11.2011 21:36 138760]
R2 thdudf;TOSHIBA UDF2.5 Reader File System Driver;c:\windows\system32\drivers\thdudf.sys [17.6.2011 15:25 66944]
R3 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\drivers\dtsoftbus01.sys [11.11.2011 16:04 239168]
R3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\program files\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [9.11.2011 9:04 106104]
R3 IDSxpx86;IDSxpx86;c:\documents and settings\All Users\Data aplikací\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_19.1.0.28\Definitions\IPSDefs\20111226.001\IDSXpx86.sys [27.12.2011 11:15 356280]
S0 SMR210;Symantec SMR Utility Service 2.1.0;c:\windows\system32\drivers\SMR210.SYS --> c:\windows\system32\drivers\SMR210.SYS [?]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18.3.2010 12:16 130384]
S3 cpuz135;cpuz135;\??\d:\temp\cpuz135\cpuz135_x32.sys --> d:\temp\cpuz135\cpuz135_x32.sys [?]
S3 epmntdrv;epmntdrv;c:\windows\system32\epmntdrv.sys [17.8.2011 15:43 13192]
S3 EuGdiDrv;EuGdiDrv;c:\windows\system32\EuGdiDrv.sys [17.8.2011 15:43 8456]
S3 nmwcdnsu;Nokia USB Flashing Phone Parent;c:\windows\system32\drivers\nmwcdnsu.sys [6.6.2011 17:01 137600]
S3 nmwcdnsuc;Nokia USB Flashing Generic;c:\windows\system32\drivers\nmwcdnsuc.sys [6.6.2011 17:01 8576]
S3 PROCEXP150;PROCEXP150;\??\c:\windows\system32\Drivers\PROCEXP150.SYS --> c:\windows\system32\Drivers\PROCEXP150.SYS [?]
S3 PROCEXP151;PROCEXP151;\??\c:\windows\system32\Drivers\PROCEXP151.SYS --> c:\windows\system32\Drivers\PROCEXP151.SYS [?]
S3 tvnserver;TightVNC Server;c:\program files\TightVNC\tvnserver.exe [8.7.2010 14:28 815704]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18.3.2010 12:16 753504]
S4 ADExchange;ArcSoft Exchange Service;c:\program files\Common Files\ArcSoft\esinter\Bin\eservutil.exe [26.10.2011 3:32 37280]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
p2psvc REG_MULTI_SZ p2psvc p2pimsvc p2pgasvc PNRPSvc
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://seznam.cz/
uDefault_Search_URL = hxxp://www.google.com/ie
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: {{CC963627-B1DC-40E0-B52A-CF21EE748452} - {CC963627-B1DC-40E0-B52A-CF21EE748452} - c:\documents and settings\All Users\Data aplikací\LangSoft\WebIE.dll
TCP: DhcpNameServer = 213.180.32.2 172.27.12.254
TCP: Interfaces\{1547B07A-523D-429F-976E-2952A23D33B6}: DhcpNameServer = 213.180.32.2 172.27.12.254
FF - ProfilePath - c:\documents and settings\DanRad\Data aplikací\Mozilla\Firefox\Profiles\p860sz28.default\
FF - prefs.js: browser.search.selectedEngine - Uloz.to
FF - prefs.js: browser.startup.homepage - hxxp://www.seznam.cz/
FF - prefs.js: network.proxy.gopher -
FF - prefs.js: network.proxy.gopher_port - 0
FF - prefs.js: network.proxy.type - 0
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -
.
WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
SafeBoot-WudfPf
SafeBoot-WudfRd
AddRemove-HijackThis - e:\urna\HiJack\HijackThis.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-12-27 20:29
Windows 5.1.2600 Service Pack 3 NTFS
.
skenování skrytých procesů ...
.
skenování skrytých položek 'Po spuštění' ...
.
skenování skrytých souborů ...
.
sken byl úspešně dokončen
skryté soubory: 0
.
**************************************************************************
.
[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\NIS]
"ImagePath"="\"c:\program files\Norton Internet Security\Engine\19.2.0.10\ccSvcHst.exe\" /s \"NIS\" /m \"c:\program files\Norton Internet Security\Engine\19.2.0.10\diMaster.dll\" /prefetch:1"
.
--------------------- Knihovny navázané na běžící procesy ---------------------
.
- - - - - - - > 'winlogon.exe'(1052)
c:\program files\SUPERAntiSpyware\SASWINLO.DLL
c:\windows\system32\Ati2evxx.dll
.
Celkový čas: 2011-12-27 20:31:30
ComboFix-quarantined-files.txt 2011-12-27 19:31
.
Před spuštěním: Volných bajtů: 76 776 374 272
Po spuštění: Volných bajtů: 76 855 549 952
.
WindowsXP-KB310994-SP2-Home-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect
.
- - End Of File - - 421B016F7665B3A80816D6F422A8F1AD

[Rudy]

Několik položek CF smazal, zbytek logu vypadá čistý. Nastala nějaká změna?

[danny12]

Chvíli jsem čekal, zda se hláška objeví, a bohužel, hláška z obr. č. 2 opět naskočila... v historii zabezpečení se opět objevil ten pokus o neatorizovaný přístup- kopíruji :
Kategorie:Ochrana před změnami produktu Norton
Datum a čas,Riziko,Činnost,Stav,Doporučená akce,Datum,Aktér,PID účastníka,Cíl,Cílový PID,Akce,Reakce
27.12.2011 21:47:35,Střední úroveň,Neautorizovaný přístup byl zablokován. (Duplikovat objekt),Blokováno,Není nutná žádná akce.,27.12.2011 21:47:35,C:\WINDOWS\SYSTEM32\SERVICES.EXE,1096,C:\Program Files\Norton Internet Security\Engine\19.2.0.10\ccsvchst.exe,2068,Duplikovat objekt,Neautorizovaný přístup byl zablokován.

Tak nevím

[Rudy]

Podstatné je toto:

Neautorizovaný přístup byl zablokován.

a toto:

Není nutná žádná akce

Je to normální reakce firewallu, který zablokoval neautorizovaný přístup.

[danny12]

Mě je jenom divné, že vždy, když byl problém vyřešen, nic dalšího se nedělo. Zůstal popuze záznam v historii a karanténě. Nyní se mi při každém startu pc zobrazuje ona hláška/varovné okno, že NIS ZPRACOVÁVÁ riziko obr.č.2/tedy tam stále, při každém startu pc něco nabíhá.../, a v historii mám pravidelně v době startu zablokován přístup. Tento zamezený přístup se časově vždy shoduje se startem pc. Takže mi to připadá, že se v pc vždy po startu snaží něco někoho vpustit...

[Rudy]

Takže mi to připadá, že se v pc vždy po startu snaží něco někoho vpustit...

Spíš je to tak, že některý uživatel sítě "šmíruje" na síti a jakmile se přihlásíte, snaží se on, nebo něco, co má v PC (třeba virus, který je schopný se šířit po síť. discích) vetřít se do vašeho PC.

[danny12]

Ještě se přeci jen vracím k tomuto problému. Hláška se o "zablokování malware" se zobrazuje stále, ale v karanténě není po žádném zásahu ani zmínka. Totéž v historii provedených akcí. Čisto. Pouze ten pokus o neautorizovaný přístup. Co mne však zaujalo, že když jsem rozkliknul podrobnosti o onom neautorizovaném přístupu zobrazilo se, že "aktérem" je C/Windows/SErvice.exe a "cílem" je Norton... Pro jistotu posílám screen z výpisu NISu
Napadá Vás k tomu něco ? Díky za Váš čas



Uploaded with ImageShack.us

[Rudy]

To co je označeno jako aktér a cíl, jsou legitimní soubory. Někdo, nebo něco se snaží nabourat do systému a firewall tomu úspěšně zbrání.

[danny12]

Dobrý večer,
vzhledem k Vašemu názoru se tedy domnívám, že ten malware v pc něco spustil/pokouší se spustit. At tak či tak, je pro mne rozhodující otázkou, jak se toho zbavit ? Přeinstalovat systém ? Změnit nastavení adresy routeru ? Mám uložený obraz systému z Acronisu, zálohuji/aktualizuji obraz celkem pravidelně, cca měsíčně, ale bohužel jsem samotné nabootování/přeinstalaci disku dosud neprováděl.. Ale domnívám se, že by to bylo nejjednodušší, a nejelegantnější řešení. Jaký je Váš názor, děkuji

[Rudy]

Vy už žádný problém nemáte. Troják byl uložen do karantény (můžet ho tamodtud smazat) a neautorizovaný přístup firewall blokoval (to je jeho primární funkce). PC jsem vyčistili od šmejdu a je v dnešním IT světě celkem běžné, že se někdo někam dobývá.

[danny12]

Dobrý den,
ale proč se mi tedy pokaždé, při jakémkoliv startu/restartu pc objevuje neustále od NISu ona červená cedule, že malware byl zablokován ? Od někud se to přeci musí brát.. Leda by blbnul sám NIS, a uchovával v paměti již vyřešené. To jediné mě ještě zajímá. Najde a vyřeší údajné malware, ale v karanténě ani v historii zásahů o tom není ani zmínka..čisto. Dá se nějak vyčistit paměť/mezipamět NISu ? Ta hláška při každém naběhnutí Windows mi tam prostě vadí.. takovej ten nahlodávající červik..co kdyby přeci../ a kde se to bere.../
P.S. ještě bych doplnil o jeden poznatek. Vytáhl jsem z pc kabel pro připojení z internet. sítě, restartoval pc, a v historii NISu byl opět hned po startu zablokován neoprávněný přístup... To jsem z toho fakt jelen...
Jinak za Vaší ochotu a pomoc moc díky