Odvirování PC, zrychlení počítače, vzdálená pomoc prostřednictvím služby neslape.cz

Avast hlásí rootkit a signalizuje ochranu pošty.

Máte problém s virem? Vložte sem log z FRST nebo RSIT.

Moderátor: Moderátoři

Pravidla fóra
Pokud chcete pomoc, vložte log z FRST [návod zde] nebo RSIT [návod zde]

Jednotlivé thready budou po vyřešení uzamčeny. Stejně tak ty, které budou nečinné déle než 14 dní. Vizte Pravidlo o zamykání témat. Děkujeme za pochopení.

!NOVINKA!
Nově lze využívat služby vzdálené pomoci, kdy se k vašemu počítači připojí odborník a bližší informace o problému si od vás získá telefonicky! Více na www.neslape.cz
Odpovědět
Zpráva
Autor
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#16 Příspěvek od pecan.ova »

...tak zde je ten další log z ComboFixu... :


ComboFix 10-02-07.06 - Petan 08.02.2010 23:13:37.3.2 - FAT32x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.1014.498 [GMT 1:00]
Spuštěný z: c:\documents and settings\Petan\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\Petan\Plocha\CFScript.txt
AV: avast! antivirus 4.8.1368 [VPS 100208-1] *On-access scanning enabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

FILE ::
"c:\documents and settings\Petan\Nabídka Start\Programy\Po spuštění\netuza32.exe"
"c:\windows\system32\fjhdyfhsn.bat"
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\Petan\Nabídka Start\Programy\Po spuštění\netuza32.exe
c:\windows\system32\fjhdyfhsn.bat

.
((((((((((((((((((((((((( Soubory vytvořené od 2010-01-08 do 2010-02-08 )))))))))))))))))))))))))))))))
.

2010-02-08 21:10 . 2010-01-07 15:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-02-08 21:10 . 2010-02-08 21:10 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-02-08 21:10 . 2010-01-07 15:07 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-02-07 21:21 . 2010-02-07 21:22 -------- d-----w- C:\rsit
2010-02-07 21:21 . 2010-02-07 21:22 -------- d-----w- c:\program files\trend micro
2010-02-05 23:08 . 2010-02-05 23:08 -------- d-----w- c:\program files\DU Super Controler
2010-02-05 20:17 . 2010-02-05 20:17 -------- d-----w- c:\program files\a-squared Free
2010-02-05 18:20 . 2010-02-05 18:20 -------- d-sh--w- c:\windows\system32\config\systemprofile\IETldCache
2010-02-05 18:19 . 2010-02-08 21:01 792064 ----a-w- c:\windows\system32\drivers\vqrov.sys
2010-01-28 08:47 . 2010-01-28 08:47 -------- d-----w- c:\program files\PowerQuest

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-02-08 22:17 . 2006-09-14 19:01 7261 ----a-w- c:\windows\bthservsdp.dat
2010-02-05 17:57 . 2009-06-13 23:59 3208 ----a-w- c:\windows\im32st.dat
2010-01-08 15:56 . 2010-01-08 15:56 -------- d-----w- c:\program files\ABBYY FineReader 7.0 Professional Edition
2010-01-07 21:09 . 2010-01-07 21:09 -------- d-----w- c:\program files\Common Files\ABBYY
2010-01-04 23:15 . 2006-09-14 18:45 74450 ----a-w- c:\windows\system32\perfc005.dat
2010-01-04 23:15 . 2006-09-14 18:45 400304 ----a-w- c:\windows\system32\perfh005.dat
2010-01-04 14:55 . 2010-01-04 14:55 -------- d-----w- c:\program files\PC-LINK SOFT
2009-11-24 23:54 . 2009-06-12 22:13 1280480 ----a-w- c:\windows\system32\aswBoot.exe
2009-11-24 23:51 . 2009-06-12 22:13 93424 ----a-w- c:\windows\system32\drivers\aswmon.sys
2009-11-24 23:51 . 2009-06-12 22:13 94160 ----a-w- c:\windows\system32\drivers\aswmon2.sys
2009-11-24 23:50 . 2009-06-12 22:13 114768 ----a-w- c:\windows\system32\drivers\aswSP.sys
2009-11-24 23:50 . 2009-06-12 22:13 20560 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
2009-11-24 23:49 . 2009-06-12 22:13 48560 ----a-w- c:\windows\system32\drivers\aswTdi.sys
2009-11-24 23:48 . 2009-06-12 22:13 23120 ----a-w- c:\windows\system32\drivers\aswRdr.sys
2009-11-24 23:47 . 2009-06-12 22:13 27408 ----a-w- c:\windows\system32\drivers\aavmker4.sys
2009-11-24 23:47 . 2009-06-12 22:13 97480 ----a-w- c:\windows\system32\AvastSS.scr
.

((((((((((((((((((((((((((((( SnapShot@2010-02-08_15.33.50 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-02-08 22:18 . 2010-02-08 22:18 16384 c:\windows\temp\Perflib_Perfdata_674.dat
+ 2009-06-12 21:29 . 2010-02-08 18:46 32768 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
- 2009-06-12 21:29 . 2010-02-05 20:22 32768 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
+ 2009-06-12 21:29 . 2010-02-08 18:46 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
- 2009-06-12 21:29 . 2010-02-05 20:22 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-03-12 153136]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LaunchApp"="Alaunch" [X]
"SkyTel"="SkyTel.EXE" [2006-05-16 2879488]
"AzMixerSel"="c:\program files\Realtek\InstallShield\AzMixerSel.exe" [2005-12-21 53248]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761946]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 32768]
"ntiMUI"="c:\program files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe" [2006-05-15 45056]
"ADMTray.exe"="c:\acer\Empowering Technology\admtray.exe" [2005-10-24 2462208]
"eDataSecurity Loader"="c:\acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2005-12-27 69632]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 110592]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-18 208952]
"MSPY2002"="c:\windows\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-18 59392]
"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-18 455168]
"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-18 455168]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 16248320]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2006-10-06 98304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-10-06 114688]
"Persistence"="c:\windows\system32\igfxpers.exe" [2006-10-06 94208]
"ePower_DMC"="c:\acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-08-10 352256]
"Acer ePower Management"="c:\acer\Empowering Technology\ePower\Acer ePower Management.exe" [2006-05-22 3080704]
"LManager"="c:\progra~1\LAUNCH~1\LManager.exe" [2006-07-20 593920]
"eRecoveryService"="c:\acer\Empowering Technology\eRecovery\Monitor.exe" [2006-01-24 397312]
"NeroFilterCheck"="c:\program files\Common Files\Ahead\Lib\NeroCheck.exe" [2007-03-09 153136]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-09-05 417792]
"FineReader7NewsReaderPro"="c:\program files\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe" [2003-08-19 278528]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\Petan\Nabˇdka Start\Programy\Po spuçtŘnˇ\
FileOpenAPI.exe.lnk - c:\program files\FileOpen\plug_ins\FileOpenAPI.exe [2008-6-1 57344]

c:\documents and settings\All Users\Nabˇdka Start\Programy\Po spuçtŘnˇ\
DUSuperControler.lnk - c:\program files\DU Super Controler\DUSuperControler.exe [2008-2-12 806912]

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Adobe Acrobat Speed Launcher.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Adobe Acrobat Speed Launcher.lnk
backup=c:\windows\pss\Adobe Acrobat Speed Launcher.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Adobe Reader Speed Launch.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Adobe Reader Speed Launch.lnk
backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Logitech Desktop Messenger.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Logitech Desktop Messenger.lnk
backup=c:\windows\pss\Logitech Desktop Messenger.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Microsoft Office.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Acrobat Assistant 7.0]
2004-12-14 10:12 483328 ----a-w- c:\program files\Adobe\Acrobat 7.0\Distillr\acrotray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LDM]
2009-06-13 22:35 36864 ----a-w- c:\program files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechCommunicationsManager]
2006-10-31 00:03 284184 ----a-w- c:\program files\Common Files\Logitech\LComMgr\Communications_Helper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechQuickCamRibbon]
2006-11-15 20:58 746520 ----a-w- c:\program files\Logitech\QuickCam10\QuickCam10.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LVCOMSX]
2006-11-15 21:01 244512 ----a-w- c:\program files\Common Files\Logitech\LComMgr\LVComSX.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 04:22 1695232 ----a-w- c:\program files\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2007-03-09 17:53 153136 ----a-w- c:\program files\Common Files\Ahead\Lib\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
2009-03-05 15:07 2260480 --sha-r- c:\program files\Spybot - Search & Destroy\TeaTimer.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\ICQ6.5\\ICQ.exe"=
"c:\\Program Files\\Logitech\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\DU Super Controler\\DUSuperControler.exe"=

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [12.6.2009 23:13 114768]
R2 a2free;a-squared Free Service;c:\program files\a-squared Free\a2service.exe [5.2.2010 21:17 1858144]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [12.6.2009 23:13 20560]
R3 HomeQOS;HomeQOS Miniport;c:\windows\system32\drivers\homeqos.sys [23.2.2004 11:09 36096]
S3 SPCP825K;Sunplus Serial port driver;c:\windows\system32\drivers\SPCP825K.sys [4.1.2010 15:54 26624]

--- Ostatní služby/ovladače v paměti ---

*NewlyCreated* - INT15.SYS
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.centrum.cz/
uSearchURL,(Default) = hxxp://uk.rd.yahoo.com/customize/ycomp/defaults/su/*http://uk.yahoo.com
IE: Převést cíl vazby do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Převést cíl vazby do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Převést do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Převést do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Převést vybrané vazby do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Převést vybrané vazby do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Převést výběr do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Převést výběr do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - c:\program files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-02-08 23:20
Windows 5.1.2600 Service Pack 3 FAT NTAPI

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(7072)
c:\program files\Common Files\Logitech\LVMVFM\LVPrcInj.dll
c:\windows\system32\MSNChatHook.dll
c:\windows\system32\sysenv.dll
c:\windows\system32\MSVCR71.dll
c:\windows\system32\webcheck.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Intel\Wireless\Bin\EvtEng.exe
c:\program files\Intel\Wireless\Bin\S24EvMon.exe
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe
c:\acer\Empowering Technology\admServ.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\windows\system32\rundll32.exe
c:\program files\Intel\Wireless\Bin\RegSrvc.exe
c:\windows\RTHDCPL.EXE
c:\windows\system32\wdfmgr.exe
c:\windows\system32\igfxext.exe
c:\windows\system32\igfxsrvc.exe
c:\docume~1\Petan\LOCALS~1\Temp\RtkBtMnt.exe
c:\windows\system32\wscntfy.exe
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\program files\Common Files\Ahead\Lib\NMIndexingService.exe
c:\program files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
c:\windows\system32\wbem\unsecapp.exe
.
**************************************************************************
.
Celkový čas: 2010-02-08 23:22:07 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-02-08 22:22
ComboFix2.txt 2010-02-08 21:06
ComboFix3.txt 2010-02-08 15:37

Před spuštěním: Volných bajtů: 33 680 883 712
Po spuštění: Volných bajtů: 33 631 666 176

- - End Of File - - 9D5AB63087AFC56FA4A802FBB658E722
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#17 Příspěvek od pecan.ova »

...jejda, nevšiml jsem si toho opraveného skriptu... takže to zkusím znovu...
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#18 Příspěvek od motji »

Nee, nespouštějte ho..napíšu nový, ten rootkit se zas obnovil :roll:
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#19 Příspěvek od pecan.ova »

...dobrá, brzdím se... :)
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#20 Příspěvek od motji »

Jste moc rychlý :D . Soubor se ted odkryl, předtím tam vůbec nebyl :roll: ..Té mršce se od Vás nechce :twisted: :D

Nový skript:

Kód: Vybrat vše

KillAll::
File::
c:\windows\system32\drivers\vqrov.sys
C:\Documents and Settings\Petan\Data aplikací\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exe
C:\Documents and Settings\Petan\Data aplikací\avdrn.dat

Driver::
vqrov
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#21 Příspěvek od pecan.ova »

...asi jsem tu potvoru dobře krmil... :D
tak tady je log z toho posledního CF:

ComboFix 10-02-07.06 - Petan 08.02.2010 23:44:09.4.2 - FAT32x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.1014.540 [GMT 1:00]
Spuštěný z: c:\documents and settings\Petan\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\Petan\Plocha\CFScript.txt
AV: avast! antivirus 4.8.1368 [VPS 100208-1] *On-access scanning enabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

FILE ::
"c:\documents and settings\Petan\Data aplikací\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exe"
"c:\documents and settings\Petan\Data aplikací\avdrn.dat"
"c:\windows\system32\drivers\vqrov.sys"
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\Petan\Data aplikací\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exe
c:\documents and settings\Petan\Data aplikací\avdrn.dat
c:\windows\system32\drivers\vqrov.sys

.
((((((((((((((((((((((((( Soubory vytvořené od 2010-01-08 do 2010-02-08 )))))))))))))))))))))))))))))))
.

2010-02-08 21:10 . 2010-01-07 15:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-02-08 21:10 . 2010-02-08 21:10 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-02-08 21:10 . 2010-01-07 15:07 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-02-07 21:21 . 2010-02-07 21:22 -------- d-----w- C:\rsit
2010-02-07 21:21 . 2010-02-07 21:22 -------- d-----w- c:\program files\trend micro
2010-02-05 23:08 . 2010-02-05 23:08 -------- d-----w- c:\program files\DU Super Controler
2010-02-05 20:17 . 2010-02-05 20:17 -------- d-----w- c:\program files\a-squared Free
2010-02-05 18:20 . 2010-02-05 18:20 -------- d-sh--w- c:\windows\system32\config\systemprofile\IETldCache
2010-01-28 08:47 . 2010-01-28 08:47 -------- d-----w- c:\program files\PowerQuest

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-02-08 22:47 . 2006-09-14 19:01 7261 ----a-w- c:\windows\bthservsdp.dat
2010-02-05 17:57 . 2009-06-13 23:59 3208 ----a-w- c:\windows\im32st.dat
2010-01-08 15:56 . 2010-01-08 15:56 -------- d-----w- c:\program files\ABBYY FineReader 7.0 Professional Edition
2010-01-07 21:09 . 2010-01-07 21:09 -------- d-----w- c:\program files\Common Files\ABBYY
2010-01-04 23:15 . 2006-09-14 18:45 74450 ----a-w- c:\windows\system32\perfc005.dat
2010-01-04 23:15 . 2006-09-14 18:45 400304 ----a-w- c:\windows\system32\perfh005.dat
2010-01-04 14:55 . 2010-01-04 14:55 -------- d-----w- c:\program files\PC-LINK SOFT
2009-11-24 23:54 . 2009-06-12 22:13 1280480 ----a-w- c:\windows\system32\aswBoot.exe
2009-11-24 23:51 . 2009-06-12 22:13 93424 ----a-w- c:\windows\system32\drivers\aswmon.sys
2009-11-24 23:51 . 2009-06-12 22:13 94160 ----a-w- c:\windows\system32\drivers\aswmon2.sys
2009-11-24 23:50 . 2009-06-12 22:13 114768 ----a-w- c:\windows\system32\drivers\aswSP.sys
2009-11-24 23:50 . 2009-06-12 22:13 20560 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
2009-11-24 23:49 . 2009-06-12 22:13 48560 ----a-w- c:\windows\system32\drivers\aswTdi.sys
2009-11-24 23:48 . 2009-06-12 22:13 23120 ----a-w- c:\windows\system32\drivers\aswRdr.sys
2009-11-24 23:47 . 2009-06-12 22:13 27408 ----a-w- c:\windows\system32\drivers\aavmker4.sys
2009-11-24 23:47 . 2009-06-12 22:13 97480 ----a-w- c:\windows\system32\AvastSS.scr
.

((((((((((((((((((((((((((((( SnapShot@2010-02-08_15.33.50 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-02-08 22:18 . 2010-02-08 22:18 16384 c:\windows\temp\Perflib_Perfdata_674.dat
+ 2010-02-08 22:48 . 2010-02-08 22:48 16384 c:\windows\temp\Perflib_Perfdata_670.dat
+ 2009-06-12 21:29 . 2010-02-08 18:46 32768 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
- 2009-06-12 21:29 . 2010-02-05 20:22 32768 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
+ 2009-06-12 21:29 . 2010-02-08 18:46 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
- 2009-06-12 21:29 . 2010-02-05 20:22 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe" [2007-03-12 153136]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LaunchApp"="Alaunch" [X]
"SkyTel"="SkyTel.EXE" [2006-05-16 2879488]
"AzMixerSel"="c:\program files\Realtek\InstallShield\AzMixerSel.exe" [2005-12-21 53248]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761946]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 32768]
"ntiMUI"="c:\program files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe" [2006-05-15 45056]
"ADMTray.exe"="c:\acer\Empowering Technology\admtray.exe" [2005-10-24 2462208]
"eDataSecurity Loader"="c:\acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2005-12-27 69632]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 110592]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-18 208952]
"MSPY2002"="c:\windows\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-18 59392]
"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-18 455168]
"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-18 455168]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 16248320]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2006-10-06 98304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-10-06 114688]
"Persistence"="c:\windows\system32\igfxpers.exe" [2006-10-06 94208]
"ePower_DMC"="c:\acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-08-10 352256]
"Acer ePower Management"="c:\acer\Empowering Technology\ePower\Acer ePower Management.exe" [2006-05-22 3080704]
"LManager"="c:\progra~1\LAUNCH~1\LManager.exe" [2006-07-20 593920]
"eRecoveryService"="c:\acer\Empowering Technology\eRecovery\Monitor.exe" [2006-01-24 397312]
"NeroFilterCheck"="c:\program files\Common Files\Ahead\Lib\NeroCheck.exe" [2007-03-09 153136]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-09-05 417792]
"FineReader7NewsReaderPro"="c:\program files\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe" [2003-08-19 278528]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\Petan\Nabˇdka Start\Programy\Po spuçtŘnˇ\
FileOpenAPI.exe.lnk - c:\program files\FileOpen\plug_ins\FileOpenAPI.exe [2008-6-1 57344]

c:\documents and settings\All Users\Nabˇdka Start\Programy\Po spuçtŘnˇ\
DUSuperControler.lnk - c:\program files\DU Super Controler\DUSuperControler.exe [2008-2-12 806912]

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Adobe Acrobat Speed Launcher.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Adobe Acrobat Speed Launcher.lnk
backup=c:\windows\pss\Adobe Acrobat Speed Launcher.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Adobe Reader Speed Launch.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Adobe Reader Speed Launch.lnk
backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Logitech Desktop Messenger.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Logitech Desktop Messenger.lnk
backup=c:\windows\pss\Logitech Desktop Messenger.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Microsoft Office.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Acrobat Assistant 7.0]
2004-12-14 10:12 483328 ----a-w- c:\program files\Adobe\Acrobat 7.0\Distillr\acrotray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LDM]
2009-06-13 22:35 36864 ----a-w- c:\program files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechCommunicationsManager]
2006-10-31 00:03 284184 ----a-w- c:\program files\Common Files\Logitech\LComMgr\Communications_Helper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechQuickCamRibbon]
2006-11-15 20:58 746520 ----a-w- c:\program files\Logitech\QuickCam10\QuickCam10.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LVCOMSX]
2006-11-15 21:01 244512 ----a-w- c:\program files\Common Files\Logitech\LComMgr\LVComSX.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 04:22 1695232 ----a-w- c:\program files\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2007-03-09 17:53 153136 ----a-w- c:\program files\Common Files\Ahead\Lib\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
2009-03-05 15:07 2260480 --sha-r- c:\program files\Spybot - Search & Destroy\TeaTimer.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\ICQ6.5\\ICQ.exe"=
"c:\\Program Files\\Logitech\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\DU Super Controler\\DUSuperControler.exe"=

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [12.6.2009 23:13 114768]
R2 a2free;a-squared Free Service;c:\program files\a-squared Free\a2service.exe [5.2.2010 21:17 1858144]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [12.6.2009 23:13 20560]
R3 HomeQOS;HomeQOS Miniport;c:\windows\system32\drivers\homeqos.sys [23.2.2004 11:09 36096]
S3 SPCP825K;Sunplus Serial port driver;c:\windows\system32\drivers\SPCP825K.sys [4.1.2010 15:54 26624]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.centrum.cz/
uSearchURL,(Default) = hxxp://uk.rd.yahoo.com/customize/ycomp/defaults/su/*http://uk.yahoo.com
IE: Převést cíl vazby do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Převést cíl vazby do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Převést do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Převést do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Převést vybrané vazby do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Převést vybrané vazby do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Převést výběr do Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Převést výběr do existujícího PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - c:\program files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-02-08 23:49
Windows 5.1.2600 Service Pack 3 FAT NTAPI

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(7240)
c:\program files\Common Files\Logitech\LVMVFM\LVPrcInj.dll
c:\windows\system32\MSNChatHook.dll
c:\windows\system32\sysenv.dll
c:\windows\system32\MSVCR71.dll
c:\windows\system32\webcheck.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Intel\Wireless\Bin\EvtEng.exe
c:\program files\Intel\Wireless\Bin\S24EvMon.exe
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\program files\common files\logitech\lvmvfm\LVPrcSrv.exe
c:\acer\Empowering Technology\admServ.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\program files\Intel\Wireless\Bin\RegSrvc.exe
c:\windows\system32\wdfmgr.exe
c:\windows\system32\rundll32.exe
c:\windows\RTHDCPL.EXE
c:\windows\system32\igfxext.exe
c:\windows\system32\igfxsrvc.exe
c:\windows\system32\wscntfy.exe
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\windows\system32\wbem\unsecapp.exe
c:\program files\Common Files\Ahead\Lib\NMIndexingService.exe
c:\program files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
c:\docume~1\Petan\LOCALS~1\Temp\RtkBtMnt.exe
.
**************************************************************************
.
Celkový čas: 2010-02-08 23:51:58 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-02-08 22:51
ComboFix2.txt 2010-02-08 22:22
ComboFix3.txt 2010-02-08 21:06
ComboFix4.txt 2010-02-08 15:37

Před spuštěním: Volných bajtů: 33 646 739 456
Po spuštění: Volných bajtů: 33 588 248 576

- - End Of File - - 765887ECE9085668229D2A927B758E11
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#22 Příspěvek od pecan.ova »

...pokud na mě budete mít čas i zítra, tak bych to asi pro dnešek ukončil... přišel za mnou pes, že chce jít ven a ráno v 5 musím vstávat do práce, a Vy už toho taky asi musíte mít plné zuby... :)
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#23 Příspěvek od motji »

:D ted už by to mělo být čisté :) . Ve spouštění combofixu už máte praxi :D :D .

:arrow: Odinstalujte combofix přes
Start >> Spustit zkopírujte do okénka:

ComboFix /Uninstall

stiskněte Enter
-To odinstaluje ComboFix a smaže s ním související soubory a složky.



:arrow: Stáhněte T-Cleaner
http://sweb.cz/Marinus/T-Cleaner.exe

-Spusťte,pro potvrzení volby mačkejte klávesu A, Enter
-po použití prográmek vymažte.Pozor,antiviry ho mohou falešně označit za vir


:arrow: Stahněte OTC a použijte
http://oldtimer.geekstogo.com/OTC.exe



:arrow: Stáhněte Ccleaner,viz můj podpis
-nainstalujte a vyčištěte dočasné soubory, i registry

:arrow: A spustte ten AVPtool :)
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#24 Příspěvek od pecan.ova »

...tak, stroj je pročištěn, a s tím AVPtool bych opravdu pokračoval až zase odpoledne (když to je i na několik hodin...). Zatím moc díky za účinnou pomoc a budu se těšit na pokračování :) Petr
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#25 Příspěvek od motji »

Není zač, spam už by jste posílat neměl :) .
Ale určitě AVPtool ještě spustte, se zapojenou fleškou :)
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#26 Příspěvek od pecan.ova »

O.K., zatím dobrou... :)
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#27 Příspěvek od pecan.ova »

...Zdravím, tak jsem opět zde, scan AVPtool už mám hotový:

Autoscan: stopped 3 hours ago (events: 2, objects: 958, time: 00:02:02)
9.2.2010 15:20:52 Task started
9.2.2010 15:22:54 Task stopped
Autoscan: completed 29 minutes ago (events: 5, objects: 505906, time: 03:10:28)
9.2.2010 15:24:39 Task started
9.2.2010 17:35:27 Detected: not-a-virus:AdWare.Win32.Zwangi.cf H:\Instal\Hry\eipcsnake.exe/data0018/data0006
9.2.2010 17:46:54 Detected: not-a-virus:AdWare.Win32.Zwangi.f H:\Instal\Hry\eipcsnake.exe/data0018/data0009
9.2.2010 17:46:59 Deleted: not-a-virus:AdWare.Win32.Zwangi.f H:\Instal\Hry\eipcsnake.exe
9.2.2010 18:35:07 Task completed
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#28 Příspěvek od pecan.ova »

...ještě aby nedošlo k omylu - fleška, pomocí které jsem včera přenášel ty programy a logy, byla při scanu na pozici disku "F", na pozici "G" pak byla druhá fleška, kterou s noťasem obvykle používám a na pozici "H" (kde podle AVP byla nalezena nějaká havěť) byl připojen externí HDD WD 400GB, na němž mám zálohovanou většinu souborů...
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#29 Příspěvek od motji »

Fajn, jak to vypadá s počítačem? Virut se nepotvrdil. Ale pro jistotu bychom mohli kouknout i na ten druhý počítač :)

:arrow: Ještě otestujte na www.virustotal.com
c:\windows\system32\drivers\SPCP825K.sys
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
pecan.ova
Návštěvník
Návštěvník
Příspěvky: 55
Registrován: 08 úno 2010 15:14

Re: Avast hlásí rootkit a signalizuje ochranu pošty.

#30 Příspěvek od pecan.ova »

...noťas jsem ještě nezkoušel připojit, jinak se chová relativně normálně, jen mám problém s tím, že mi zmizely ty ikony Avastu, takže teď nevím, co vlastně dělá, jestli je vůbec zapnutý a neumím ho ovládat... A potom se mi přestalo zobrazovat okno "přehrát automaticky", které se zobrazuje vždy při připojení flešky nebo ext. HDD do USB, což mi celkem vadí, protože otevření tak bylo jednodušší. Teď musím vše otvírat přes "Tento počítač"... nešlo by s tím něco udělat???
Nahoru
Odpovědět

Zpět na „Řešení problémů, logy“