win32/mebroot.BG

[motji]

A mohl by jste ho odinstalovat?

odinstalujte všechny virtuální jednotky (Daemon nebo alcohol)

Stáhněte SPTD http://www.duplexsecure.com/en/downloads
-vyberte verzi podle svého operačního systému. SPTD for Windows (32 bit) nebo (64b)
-uložte na plochu a spusťte
- zvolte možnost Uninstall
- restart PC

A pak znovu spustte combofix

[elpepe]

ComboFix 10-02-27.04 - Pepe 27.02.2010 23:05:23.4.1 - x86
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.420.1029.18.511.248 [GMT 1:00]
Spuštěný z: c:\documents and settings\Pepe\Plocha\ComboFix.exe
AV: ESET Smart Security 4.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
FW: ESET personal firewall *disabled* {E5E70D32-0101-4340-86A3-A7B0F1C8FFE0}
.

((((((((((((((((((((((((( Soubory vytvořené od 2010-01-27 do 2010-02-27 )))))))))))))))))))))))))))))))
.

2010-02-27 20:56 . 2010-02-27 20:56 -------- d-----w- C:\HxD
2010-02-21 19:59 . 2010-02-21 19:59 -------- d-----w- c:\program files\Zoner
2010-02-08 19:20 . 2010-02-08 19:20 -------- d-----w- c:\program files\ESET
2010-02-04 17:26 . 2009-08-06 18:23 274288 ----a-w- c:\windows\system32\mucltui.dll
2010-02-04 17:26 . 2009-08-06 18:23 215920 ----a-w- c:\windows\system32\muweb.dll
2010-02-03 17:10 . 2010-02-03 17:10 -------- d-----w- c:\program files\Microsoft Silverlight
2010-01-31 18:27 . 2010-02-27 20:52 -------- d-----w- C:\Filmy

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-02-27 18:43 . 2010-01-08 16:26 -------- d-----w- c:\program files\ts
2010-02-08 22:41 . 2008-05-08 21:29 -------- d--h--w- c:\program files\InstallShield Installation Information
2010-02-08 22:40 . 2009-10-04 16:24 -------- d-----w- c:\program files\ElastoMania111
2010-01-27 10:29 . 2009-06-15 20:25 -------- d-----w- c:\program files\Google
2010-01-22 19:55 . 2009-04-18 07:17 98304 ----a-w- c:\windows\system32\CmdLineExt.dll
2010-01-17 19:49 . 2010-01-17 10:19 -------- d-----w- c:\program files\Crawler
2010-01-14 09:17 . 2001-10-25 14:00 46016 ----a-w- c:\windows\system32\perfc005.dat
2010-01-14 09:17 . 2001-10-25 14:00 309716 ----a-w- c:\windows\system32\perfh005.dat
2010-01-08 07:13 . 2009-06-19 07:10 33096 ----a-w- c:\windows\system32\drivers\epfwndis.sys
2010-01-05 18:05 . 2010-01-05 18:05 -------- d-----w- c:\program files\AVG
2010-01-05 17:15 . 2010-01-05 17:15 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2009-12-30 13:55 . 2010-01-05 17:15 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2009-12-30 13:54 . 2010-01-05 17:15 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2009-12-18 14:02 . 2009-11-16 08:06 135048 ----a-w- c:\windows\system32\drivers\epfw.sys
2009-12-17 08:00 . 2008-05-08 21:15 343552 ----a-w- c:\windows\system32\mspaint.exe
2009-12-14 07:37 . 2004-08-17 13:49 33280 ----a-w- c:\windows\system32\csrsrv.dll
2009-12-04 14:41 . 2004-08-03 21:15 453760 ----a-w- c:\windows\system32\drivers\mrxsmb.sys
.

((((((((((((((((((((((((((((( SnapShot_2010-02-27_19.01.31 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-02-27 22:03 . 2010-02-27 22:03 16384 c:\windows\Temp\Perflib_Perfdata_1e8.dat
+ 2010-02-27 19:22 . 2010-02-27 19:22 85969 c:\windows\system32\drivers\gmer.sys
- 2008-05-30 14:33 . 2008-05-30 14:33 69120 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\xlicons.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 69120 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\xlicons.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 35328 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\wordicon.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 35328 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\wordicon.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 30208 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\pptico.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 30208 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\pptico.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 11264 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\PEicons.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 11264 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\PEicons.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 28160 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\misc.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 28160 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\misc.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 73216 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\fpicon.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 73216 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\fpicon.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 22528 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\bindico.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 22528 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\bindico.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 104960 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\outicon.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 104960 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\outicon.exe
- 2008-05-30 14:33 . 2008-05-30 14:33 155136 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\accicons.exe
+ 2008-05-30 14:33 . 2010-02-27 19:14 155136 c:\windows\Installer\{00010405-78E1-11D2-B60F-006097C998E7}\accicons.exe
+ 2010-02-27 19:22 . 2008-04-17 20:13 811008 c:\windows\gmer.exe
+ 2010-02-27 19:22 . 2010-02-27 19:22 884736 c:\windows\gmer.dll
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2003-08-15 57344]
"C-Media Mixer"="Mixer.exe" [2002-01-28 1228800]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-05-16 136600]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2003-10-31 32768]
"egui"="c:\program files\ESET\ESET Smart Security\egui.exe" [2009-11-16 2054360]
"WinampAgent"="c:\program files\Winamp\winampa.exe" [2008-04-01 36352]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^raid_tool.exe.lnk]
path=c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\raid_tool.exe.lnk
backup=c:\windows\pss\raid_tool.exe.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]
2004-08-17 13:49 15360 ------w- c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2001-07-09 09:50 155648 ----a-w- c:\windows\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"VSS"=3 (0x3)
"UPS"=3 (0x3)
"SwPrv"=3 (0x3)
"RDSessMgr"=3 (0x3)
"NtmsSvc"=3 (0x3)
"mnmsrvc"=3 (0x3)
"CiSvc"=3 (0x3)
"wscsvc"=2 (0x2)
"TrkWks"=2 (0x2)
"TermService"=3 (0x3)
"TapiSrv"=3 (0x3)
"srservice"=2 (0x2)
"SENS"=2 (0x2)
"seclogon"=2 (0x2)
"Schedule"=2 (0x2)
"SamSs"=2 (0x2)
"RemoteRegistry"=2 (0x2)
"RasMan"=3 (0x3)
"ProtectedStorage"=2 (0x2)
"helpsvc"=2 (0x2)
"FastUserSwitchingCompatibility"=3 (0x3)
"ERSvc"=2 (0x2)
"CryptSvc"=2 (0x2)
"Browser"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\EA Games\\The Battle for Middle-earth (tm)\\game.dat"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:*:Disabled:@xpsp2res.dll,-22009

R0 viasraid;viasraid;c:\windows\system32\drivers\viasraid.sys [8.5.2008 22:35 77056]
R1 ehdrv;ehdrv;c:\windows\system32\drivers\ehdrv.sys [16.11.2009 9:03 108792]
R2 ekrn;ESET Service;c:\program files\ESET\ESET Smart Security\ekrn.exe [16.11.2009 9:04 735960]
S4 sptd;sptd;c:\windows\system32\Drivers\sptd.sys --> c:\windows\system32\Drivers\sptd.sys [?]
.
Obsah adresáře 'Naplánované úlohy'

2010-02-27 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2010-01-05 21:18]
.
.
------- Doplňkový sken -------
.
FF - ProfilePath - c:\documents and settings\Pepe\Data aplikací\Mozilla\Firefox\Profiles\99kdw6y1.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.idnes.cz/
FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nppl3260.dll
FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nprpjplug.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".cz");
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -

MSConfigStartUp-DAEMON Tools-1033 - c:\program files\D-Tools\daemon.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-02-27 23:07
Windows 5.1.2600 Service Pack 2 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(2696)
c:\windows\system32\msi.dll
.
Celkový čas: 2010-02-27 23:08:56
ComboFix-quarantined-files.txt 2010-02-27 22:08
ComboFix2.txt 2010-02-27 19:03
ComboFix3.txt 2010-02-08 22:09

Před spuštěním: Volných bajtů: 24 286 986 240
Po spuštění: Volných bajtů: 24 256 577 536

- - End Of File - - 6EAAA4ABF08B5E1B5FBD26A883FE2F3E

[motji]

Ještě jednou spustte Mbr.exe
Jak to vypadá s počítačem?

[elpepe]

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x0DF9B543
malicious code @ sector 0x0DF9B546 !
PE file found in sector at 0x0DF9B55C !

Co myslíte tím jak to vypadá?

[motji]

Hlásí Nod antivir ještě něco?
Jsou s počítačem nějaké problémy?

Odinstalujte combofix přes Start - Spustit
- zkopírujte do okénka:

ComboFix /Uninstall

-stiskněte Enter
-To odinstaluje ComboFix a smaže s ním související soubory a složky.


***********


Stáhněte T-Cleaner
http://sweb.cz/Marinus/T-Cleaner.exe

-Spusťte,pro potvrzení volby mačkejte klávesu A, Enter
-po použití prográmek vymažte.Pozor,antiviry ho mohou falešně označit za vir



***********


Z mého podpisu stahněte Ccleaner
- nainstalujte, při výběru, co se má nainstalovat, dejte pryč fajfku u instalace yahoo toolbaru

záložka čistič
- nechejte v levém sloupečku zatrhnuté vše jak je, klikněte na analyzovat
- po analýze klikněte na Spustit Ccleaner

záložka Registry
- klikněte na hledej problémy
- pak klikněte na opravit vybrané problémy -- udělat zálohu registrů - nemusíte
- kliknete opravit všechny problémy ok zavřít

Záložka Nástroje
- zde můžete odinstalovat programy. Je to důkladnější odinstalace než u přidat/odebrat programy ve Windows.

Ccleaner - čistič doporučuji používat, krásně pročistí pc od dočasných souborů.
Registry pročistí třeba po odinstalaci nějakého programu.


***********



Stahněte OTC a použijte
http://oldtimer.geekstogo.com/OTC.exe
-vyčistí tempy a po použitých programech



***********

Stahněte dr. Web CureIt http://www.viry.cz/forum/viewtopic.php?f=29&t=47721
-udělejte sken , co najde nechte léčit, smazat
-sken může trvat několik hodin
-Soubor/Uložit výsledky - uložíte jako textovy soubor a zkopírujete zde

[elpepe]

Dal jsem celý sken Nodem.
Našlo to 13 infiltrací, ale všechno vyléčeno.


Tak snad už to bude dobré
teď skusím ty odinstaly dle pokynů a vyčistit to těmi cleanery.
díky moc
Pepe

[motji]

Ještě pak dejte sken Webcureitem - měl by najít, co rootkit nakradl

[elpepe]

Dobrý den
Wev CureIt napsal, že nebyl nalezen ýžádný virus. Snad je tedy již vše v pořádku.
Díky za váš čas
Pepe

[motji]

Ještě si změňte všude hesla, Meebrot je krade.

Ještě poprosím o nový log ze Rsitu