problem so security tool

[motji]

Máte tam hnízdečko rootkitů a pořád mám takový nepěkný pocit, že i toho viruta , ale uvidíme, co nám potom poví webcureit.
Stahněte si rovnou i Gmer na flešku, pak ho budeme taky potřebovat, ale zatím ho nespouštějte.


Z přílohy stahněte soubor v raru, rozbalte ho a vložte přímo na disk C, tak aby cesta k němu byla
c:\ndis.sys

Pokud nemáte, přesuňte Combofix na plochu
-otevřete si Poznámkový blok
-Do něj zkopírujte text z tohoto okénka

Kód: Vybrat vše

KillAll::

Rootkit::
c:\windows\system32\drivers\ldddabb.sys
c:\windows\system32\drivers\souuvovw.sys

Folder::
G:\NOCHIMA
G:\hjvjte.exe

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{05b87205-ca1c-11de-978a-001b24c8908d}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0070c933-211e-11df-988f-001b24c8908d}]

Driver::
souuvovw
ldddabb

DDS::
uDefault_Search_URL = hxxp://search.qip.ru
uSearchAssistant = hxxp://search.qip.ru/ie
uSearchURL,(Default) = Root: HKCU; Subkey: Software\Microsoft\Internet Explorer\SearchUrl; ValueType: string; ValueName: '; ValueData: '; Flags: createvalueifdoesntexist noerror; Tasks: AddSearchQip

Firefox::
FF - ProfilePath - c:\documents and settings\Petko\Data aplikací\Mozilla\Firefox\Profiles\3hzz7onb.default\
FF - prefs.js: keyword.URL - hxxp://search.qip.ru/search?from=FF&query=

FCOPY::
c:\ndis.sys | c:\windows\system32\drivers\ndis.sys
c:\ndis.sys | c:\windows\system32\dllcache\ndis.sys

Restore::
c:\windows\system32\drivers\tcpip.sys

-uložte Vámi vytvořený TXT soubor jako CFScript.txt na plochu
-po uložení uchopte vámi vytvořený skript levým myšítkem a -přesuňte ho nad ikonu Combofixu, kde ho upustíte:




-po aplikaci na Vás vypadne další log,vložte ho sem

Upozornění : může se stát, že po aplikaci skriptu a restartu Windows nenaběhnou, v tom případě znovu restartujte a přitom mačkejte F8, pak zvolte Poslední známou funkční konfiguraci


Stáhněte na flešku a uložte v počítači, zatím nepoužívejte
Stáhněte Gmer http://www.viry.cz/forum/viewtopic.php?f=29&t=62878
http://www2.gmer.net/mbr/mbr.exe
SPTD http://www.duplexsecure.com/en/downloads

Pak spustte to boot cd s webcureitem. Já tu budu večer, kouknu na to

[nessay]

to vsetko by som mal asi este stale robit v nouzovom rezimu, vsak?

[motji]

bylo by to lepší
A bootcd se dělá uplně mimo systém

[nessay]

jo to mi je jasne.. ale ked sa dostanem k tomu bootcd, ked ho spustim, co konkretne mam spravit.. iba dat skontrolovat disk??

[motji]

Ano, dáte zkontrolovat disk. Co najde, nechat léčit.

[nessay]

dr.web zatial pracuje... to potrva asi este niekolko hodin, takze dalsie dorobime asi az zajtra.
tu je ten combo

ComboFix 10-03-18.02 - Administrator . 03. 2010 16:57:26.2.2 - x86 NETWORK
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.420.1029.18.3071.2821 [GMT 1:00]
Spuštěný z: c:\documents and settings\Administrator\Plocha\potvora.com.exe
Použité ovládací přepínače :: c:\documents and settings\Administrator\Plocha\CFScript.txt

VAROVÁNÍ - NA TOMTO POČÍTAČI NENÍ NAINSTALOVÁNA KONZOLA PRO ZOTAVENÍ !!
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\drivers\tcpip.sys . . . je infikován!!

.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_LDDDABB
-------\Legacy_SOUUVOVW
-------\Service_ldddabb
-------\Service_souuvovw


((((((((((((((((((((((((( Soubory vytvořené od 2010-02-19 do 2010-03-19 )))))))))))))))))))))))))))))))
.

2010-03-19 12:49 . 2010-03-19 12:49 -------- d-----w- C:\_OTM
2010-03-18 13:13 . 2010-03-18 13:13 -------- d-----w- C:\rsit
2010-03-18 13:13 . 2010-03-18 13:13 -------- d-----w- c:\program files\trend micro
2010-03-17 23:53 . 2010-03-17 23:53 664 ----a-w- c:\windows\system32\d3d9caps.dat
2010-03-06 13:52 . 2010-03-06 13:58 -------- d-----w- c:\program files\Canon
2010-03-06 13:50 . 2004-08-03 22:01 25856 -c--a-w- c:\windows\system32\dllcache\usbprint.sys
2010-03-06 13:50 . 2004-08-03 22:01 25856 ----a-w- c:\windows\system32\drivers\usbprint.sys
2010-03-02 20:16 . 2001-10-28 15:42 116224 ----a-w- c:\windows\system32\pdfcmnnt.dll
2010-03-02 20:16 . 2010-03-02 20:16 -------- d-----w- c:\program files\PDFCreator
2010-03-02 20:16 . 1998-07-05 23:00 23552 ----a-w- c:\windows\system32\MSMPIDE.DLL
2010-03-02 18:33 . 2008-10-23 00:22 95232 ----a-w- c:\windows\system32\oCLWatson.exe
2010-03-02 18:33 . 2008-10-23 00:22 44544 ----a-w- c:\windows\system32\msxml4a.dll
2010-03-02 18:31 . 2010-03-02 18:34 -------- d-----w- c:\program files\CyberLink
2010-02-25 01:43 . 2004-08-17 14:49 21504 -c--a-w- c:\windows\system32\dllcache\hidserv.dll
2010-02-25 01:43 . 2004-08-17 14:49 21504 ----a-w- c:\windows\system32\hidserv.dll
2010-02-25 01:42 . 2004-08-03 22:10 15360 -c--a-w- c:\windows\system32\dllcache\mpe.sys
2010-02-25 01:42 . 2004-08-03 22:10 15360 ----a-w- c:\windows\system32\drivers\MPE.sys
2010-02-25 01:41 . 2004-08-17 14:49 363520 -c--a-w- c:\windows\system32\dllcache\psisdecd.dll
2010-02-25 01:41 . 2004-08-17 14:49 363520 ----a-w- c:\windows\system32\PsisDecd.dll
2010-02-25 01:41 . 2004-08-03 22:10 11776 -c--a-w- c:\windows\system32\dllcache\bdasup.sys
2010-02-25 01:41 . 2004-08-03 22:10 11776 ----a-w- c:\windows\system32\drivers\BdaSup.sys
2010-02-25 01:40 . 2007-07-31 11:18 1719808 ----a-w- c:\windows\system32\drivers\u3kh.sys
2010-02-25 01:40 . 2007-05-16 20:01 13568 ----a-w- c:\windows\system32\drivers\u3khrc.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-19 15:52 . 2001-10-25 13:00 77872 ----a-w- c:\windows\system32\perfc005.dat
2010-03-19 15:52 . 2001-10-25 13:00 428750 ----a-w- c:\windows\system32\perfh005.dat
2010-03-17 23:18 . 2004-08-03 20:14 212736 ----a-w- c:\windows\system32\drivers\ndis.sys
2010-03-02 18:35 . 2009-09-26 17:49 -------- d--h--w- c:\program files\InstallShield Installation Information
2010-02-18 15:48 . 2009-11-16 18:13 281760 ----a-w- c:\windows\system32\drivers\atksgt.sys
2010-02-18 15:48 . 2009-11-16 18:13 25888 ----a-w- c:\windows\system32\drivers\lirsgt.sys
2010-02-15 14:36 . 2009-09-26 17:43 -------- d-----w- c:\program files\Common Files\Wise Installation Wizard
2010-02-15 14:36 . 2009-09-26 17:43 -------- d-----w- c:\program files\AGEIA Technologies
2010-02-04 21:03 . 2010-02-04 21:03 -------- d-----w- c:\program files\Hamachi
2010-02-04 21:03 . 2010-02-04 21:03 25280 ----a-w- c:\windows\system32\drivers\hamachi.sys
2010-02-04 17:31 . 2010-02-04 17:31 -------- d-----w- c:\program files\BRS
2010-02-04 17:27 . 2010-02-04 17:27 445016 ----a-w- c:\windows\system32\wrap_oal.dll
2010-02-04 17:27 . 2010-02-04 17:27 109144 ----a-w- c:\windows\system32\OpenAL32.dll
2010-02-04 17:27 . 2010-02-04 17:27 -------- d-----w- c:\program files\OpenAL
2010-01-25 19:09 . 2010-01-25 18:43 -------- d-----w- c:\program files\Common Files\BioWare
2009-12-19 18:59 . 2009-11-04 19:53 98304 ----a-w- c:\windows\system32\CmdLineExt.dll
2009-08-31 15:55 . 2009-10-13 20:17 118000 ----a-w- c:\program files\mozilla firefox\components\qippipe.dll
.

((((((((((((((((((((((((((((( SnapShot@2010-03-19_13.24.48 )))))))))))))))))))))))))))))))))))))))))
.
- 2001-10-25 13:00 . 2010-03-19 13:03 67312 c:\windows\system32\perfc009.dat
+ 2001-10-25 13:00 . 2010-03-19 15:52 67312 c:\windows\system32\perfc009.dat
+ 2001-10-25 13:00 . 2010-03-19 15:52 432356 c:\windows\system32\perfh009.dat
- 2001-10-25 13:00 . 2010-03-19 13:03 432356 c:\windows\system32\perfh009.dat
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2009-08-19 13762560]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableNotifications"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\ICQ6.5\\ICQ.exe"=
"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=
"d:\\Games\\Dragon Age\\bin_ship\\daorigins.exe"=
"d:\\Games\\Dragon Age\\DAOriginsLauncher.exe"=
"d:\\Games\\Dragon Age\\bin_ship\\daupdatersvc.service.exe"=
"c:\\Program Files\\Hamachi\\hamachi.exe"=
"d:\\Games\\ANNO 1404\\tools\\Anno4Web.exe"=
"c:\\Program Files\\CyberLink\\PowerCinema\\PowerCinema.exe"=
"c:\\Program Files\\CyberLink\\PlayMovie\\PlayMovie.exe"=
"c:\\Program Files\\CyberLink\\PlayMovie\\PMVService.exe"=
"c:\\Program Files\\CyberLink\\TV Enhance\\TVEnhance.exe"=
"c:\\Program Files\\CyberLink\\TV Enhance\\TVEService.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [14. 10. 2009 22:00 721904]
R2 {49DE1C67-83F8-4102-99E0-C16DCC7EEC796};{49DE1C67-83F8-4102-99E0-C16DCC7EEC796};c:\program files\CyberLink\PlayMovie\000.fcl [2. 3. 2010 19:32 61424]
R2 TVECapSvc;TVEnhance Background Capture Service (TBCS);c:\program files\CyberLink\TV Enhance\Kernel\TV\TVECapSvc.exe [2. 3. 2010 19:33 364635]
R2 TVESched;TVEnhance Task Scheduler (TTS));c:\program files\CyberLink\TV Enhance\Kernel\TV\TVESched.exe [2. 3. 2010 19:33 172121]
S3 Com4QLBEx;Com4QLBEx;c:\program files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe [26. 9. 2009 18:49 193840]
S3 DAUpdaterSvc;Dragon Age: Origins - Content Updater;d:\games\Dragon Age\bin_ship\daupdatersvc.service.exe [25. 1. 2010 20:01 25832]
S3 s816bus;Sony Ericsson Device 816 driver (WDM);c:\windows\system32\drivers\s816bus.sys [11. 12. 2009 21:16 81832]
S3 s816mdfl;Sony Ericsson Device 816 USB WMC Modem Filter;c:\windows\system32\drivers\s816mdfl.sys [11. 12. 2009 21:17 13864]
S3 s816mdm;Sony Ericsson Device 816 USB WMC Modem Driver;c:\windows\system32\drivers\s816mdm.sys [11. 12. 2009 21:17 107304]
S3 s816mgmt;Sony Ericsson Device 816 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s816mgmt.sys [11. 12. 2009 21:18 99112]
S3 s816nd5;Sony Ericsson Device 816 USB Ethernet Emulation SEMCMR7 (NDIS);c:\windows\system32\drivers\s816nd5.sys [11. 12. 2009 21:19 21928]
S3 s816obex;Sony Ericsson Device 816 USB WMC OBEX Interface;c:\windows\system32\drivers\s816obex.sys [11. 12. 2009 21:17 97320]
S3 s816unic;Sony Ericsson Device 816 USB Ethernet Emulation SEMCMR7 (WDM);c:\windows\system32\drivers\s816unic.sys [11. 12. 2009 21:18 97704]
S3 u3kh;ASUS My Cinema U3000 Hybrid;c:\windows\system32\drivers\u3kh.sys [25. 2. 2010 2:40 1719808]
S3 u3khrc;ASUS Infrared Receiver;c:\windows\system32\drivers\u3khrc.sys [25. 2. 2010 2:40 13568]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{2f2ad75d-aac3-11de-972e-97cc2ee77e49}]
\Shell\AutoRun\command - G:\LaunchU3.exe -a
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://google.sk/
uInternet Settings,ProxyServer = proxy.hopa.lan:8080
uSearchAssistant = hxxp://search.qip.ru/ie
uSearchURL,(Default) = Root: HKCU; Subkey: Software\Microsoft\Internet Explorer\SearchUrl; ValueType: string; ValueName: '; ValueData: '; Flags: createvalueifdoesntexist noerror; Tasks: AddSearchQip
IE: E&xportovať do programu Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\Petko\Data aplikací\Mozilla\Firefox\Profiles\3hzz7onb.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.google.sk/
FF - component: c:\program files\Mozilla Firefox\components\qippipe.dll

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".sk");
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-19 17:03
Windows 5.1.2600 Service Pack 2 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe >>UNKNOWN [0x8AB98580]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xb810cfc3
\Driver\ACPI -> ACPI.sys @ 0xb7e66cb8
\Driver\atapi -> 0x8ac541f8
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x80582368
ParseProcedure -> ntkrnlpa.exe @ 0x80581462
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x80582368
ParseProcedure -> ntkrnlpa.exe @ 0x80581462 SendCompleteHandler -> NDIS.sys @ 0x8ab13ba0
PacketIndicateHandler -> NDIS.sys @ 0x8ab20b21
SendHandler -> NDIS.sys @ 0x8aafe87b
Warning: possible MBR rootkit infection !
user & kernel MBR OK

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet002\Services\{49DE1C67-83F8-4102-99E0-C16DCC7EEC796}]
"ImagePath"="\??\c:\program files\CyberLink\PlayMovie\000.fcl"
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(3616)
c:\windows\system32\msi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\windows\system32\nvsvc32.exe
c:\program files\CyberLink\Shared files\RichVideo.exe
.
**************************************************************************
.
Celkový čas: 2010-03-19 17:03:46 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-03-19 16:03
ComboFix2.txt 2010-03-19 13:26

Před spuštěním: 1 685 422 080
Po spuštění: 1 608 372 224

- - End Of File - - C51CD57219AC76AB21D369BA0E5A0451

[motji]

Ještě tam pořád něco je, předpokládám, že internet pořád nejde. Uvidíme po webcureitu.

[nessay]

tak na tomto pocitaci mi na net neslo pripojit ani predtym.. inde ma pripoji bez problemov, ale susedov rooter mi nechce priradit IP a neviem preco (MAC adresu som mu dal )
ak by to bolo potrebne (byt na nete), tak potom to mozme doriesit az v pondelok.. vtedy som na internate (kolej/cz)

[motji]

jak jste tam bez netu chyt tolik potvůrek .
Zatím to potřeba není.

[nessay]

na internate, mam net a takze urcite odtial..

[motji]

Fajn, pak napište, co webcureit

[nessay]

tak webcureit nasiel zopar virusov, myslim ze konkretne 6 virusov. pocitac je zatial celkom v pohode, aj na internet sa mozem prihlasit... snad uz bude ok.

[motji]

Ještě to ale uplně v pořádku není.
Používáte Daemon nebo alcohol?

z přílohy si stahněte soubor, rozbalte z raru a uložte ho přímo na disk C tak, aby cesta byla
c:\tcpip.sys


Pokud nemáte, přesuňte Combofix na plochu
-otevřete si Poznámkový blok
-Do něj zkopírujte text z tohoto okénka

Kód: Vybrat vše

FCOPY::
c:\tcpip.sys | c:\windows\system32\drivers\tcpip.sys

-uložte Vámi vytvořený TXT soubor jako CFScript.txt na plochu
-po uložení uchopte vámi vytvořený skript levým myšítkem a -přesuňte ho nad ikonu Combofixu, kde ho upustíte:




-po aplikaci na Vás vypadne další log,vložte ho sem

Upozornění : může se stát, že po aplikaci skriptu a restartu Windows nenaběhnou, v tom případě znovu restartujte a přitom mačkejte F8, pak zvolte Poslední známou funkční konfiguraci


-----------------------------

Do jednoho z těch léčených počítačů nastrkejte flešky Usb klíče a pamětové karty, pokud jste je nezformátoval a spustte

Stáhněte na plochu UsbFix
-spusťte, zvolte jazyk E - potvrdťe enter
-klikněte na volbu 2 - enter
- po skenu sem vložte log , pokud na Vás nevyskočí, najdete ho C:\UsbFix.txt


Na tom pc, přes který jste stahoval programy a logy, udělejte log ze Rsitu a Usbfixu. Založte nový topic - napište pro motji - pc3, a vložte logy.

Musíme ho také zkontrolovat, jestli nemá nějaké potvůrky, přes flešky se hned přenese všechno zpět.

[nessay]

ComboFix 10-03-18.02 - Administrator . 03. 2010 13:28:02.3.2 - x86 MINIMAL
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.420.1029.18.3071.2838 [GMT 1:00]
Spuštěný z: c:\documents and settings\Administrator\Plocha\potvora.com.exe
Použité ovládací přepínače :: c:\documents and settings\Administrator\Plocha\CFScript.txt

VAROVÁNÍ - NA TOMTO POČÍTAČI NENÍ NAINSTALOVÁNA KONZOLA PRO ZOTAVENÍ !!
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

.
--------------- FCopy ---------------

c:\tcpip.sys --> c:\windows\system32\drivers\tcpip.sys
.
((((((((((((((((((((((((( Soubory vytvořené od 2010-02-21 do 2010-03-21 )))))))))))))))))))))))))))))))
.

2010-03-21 12:11 . 2009-08-21 11:05 359040 ------w- C:\tcpip.sys
2010-03-19 12:49 . 2010-03-19 12:49 -------- d-----w- C:\_OTM
2010-03-18 13:13 . 2010-03-18 13:13 -------- d-----w- C:\rsit
2010-03-18 13:13 . 2010-03-18 13:13 -------- d-----w- c:\program files\trend micro
2010-03-17 23:53 . 2010-03-17 23:53 664 ----a-w- c:\windows\system32\d3d9caps.dat
2010-03-06 13:52 . 2010-03-06 13:58 -------- d-----w- c:\program files\Canon
2010-03-06 13:50 . 2004-08-03 22:01 25856 -c--a-w- c:\windows\system32\dllcache\usbprint.sys
2010-03-06 13:50 . 2004-08-03 22:01 25856 ----a-w- c:\windows\system32\drivers\usbprint.sys
2010-03-02 20:16 . 2001-10-28 15:42 116224 ----a-w- c:\windows\system32\pdfcmnnt.dll
2010-03-02 20:16 . 2010-03-02 20:16 -------- d-----w- c:\program files\PDFCreator
2010-03-02 20:16 . 1998-07-05 23:00 23552 ----a-w- c:\windows\system32\MSMPIDE.DLL
2010-03-02 18:33 . 2008-10-23 00:22 95232 ----a-w- c:\windows\system32\oCLWatson.exe
2010-03-02 18:33 . 2008-10-23 00:22 44544 ----a-w- c:\windows\system32\msxml4a.dll
2010-03-02 18:31 . 2010-03-02 18:34 -------- d-----w- c:\program files\CyberLink
2010-02-25 01:43 . 2004-08-17 14:49 21504 -c--a-w- c:\windows\system32\dllcache\hidserv.dll
2010-02-25 01:43 . 2004-08-17 14:49 21504 ----a-w- c:\windows\system32\hidserv.dll
2010-02-25 01:42 . 2004-08-03 22:10 15360 -c--a-w- c:\windows\system32\dllcache\mpe.sys
2010-02-25 01:42 . 2004-08-03 22:10 15360 ----a-w- c:\windows\system32\drivers\MPE.sys
2010-02-25 01:41 . 2004-08-17 14:49 363520 -c--a-w- c:\windows\system32\dllcache\psisdecd.dll
2010-02-25 01:41 . 2004-08-17 14:49 363520 ----a-w- c:\windows\system32\PsisDecd.dll
2010-02-25 01:41 . 2004-08-03 22:10 11776 -c--a-w- c:\windows\system32\dllcache\bdasup.sys
2010-02-25 01:41 . 2004-08-03 22:10 11776 ----a-w- c:\windows\system32\drivers\BdaSup.sys
2010-02-25 01:40 . 2007-07-31 11:18 1719808 ----a-w- c:\windows\system32\drivers\u3kh.sys
2010-02-25 01:40 . 2007-05-16 20:01 13568 ----a-w- c:\windows\system32\drivers\u3khrc.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-21 12:27 . 2001-10-25 13:00 428750 ----a-w- c:\windows\system32\perfh005.dat
2010-03-21 12:27 . 2001-10-25 13:00 77872 ----a-w- c:\windows\system32\perfc005.dat
2010-03-20 14:26 . 2004-08-03 20:14 182912 ----a-w- c:\windows\system32\drivers\ndis.sys
2010-03-02 18:35 . 2009-09-26 17:49 -------- d--h--w- c:\program files\InstallShield Installation Information
2010-02-18 15:48 . 2009-11-16 18:13 281760 ----a-w- c:\windows\system32\drivers\atksgt.sys
2010-02-18 15:48 . 2009-11-16 18:13 25888 ----a-w- c:\windows\system32\drivers\lirsgt.sys
2010-02-15 14:36 . 2009-09-26 17:43 -------- d-----w- c:\program files\Common Files\Wise Installation Wizard
2010-02-15 14:36 . 2009-09-26 17:43 -------- d-----w- c:\program files\AGEIA Technologies
2010-02-04 21:03 . 2010-02-04 21:03 -------- d-----w- c:\program files\Hamachi
2010-02-04 21:03 . 2010-02-04 21:03 25280 ----a-w- c:\windows\system32\drivers\hamachi.sys
2010-02-04 17:31 . 2010-02-04 17:31 -------- d-----w- c:\program files\BRS
2010-02-04 17:27 . 2010-02-04 17:27 445016 ----a-w- c:\windows\system32\wrap_oal.dll
2010-02-04 17:27 . 2010-02-04 17:27 109144 ----a-w- c:\windows\system32\OpenAL32.dll
2010-02-04 17:27 . 2010-02-04 17:27 -------- d-----w- c:\program files\OpenAL
2010-01-25 19:09 . 2010-01-25 18:43 -------- d-----w- c:\program files\Common Files\BioWare
2009-08-31 15:55 . 2009-10-13 20:17 118000 ----a-w- c:\program files\mozilla firefox\components\qippipe.dll
.

------- Sigcheck -------

[-] 2006-11-08 . 84F5FA7480E5680B8DD5A90CE7D8CA73 . 1548288 . . [5.1.2600.2180] . . c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2010-03-19_13.24.48 )))))))))))))))))))))))))))))))))))))))))
.
- 2001-10-25 13:00 . 2010-03-19 13:03 67312 c:\windows\system32\perfc009.dat
+ 2001-10-25 13:00 . 2010-03-21 12:27 67312 c:\windows\system32\perfc009.dat
+ 2001-10-25 13:00 . 2010-03-21 12:27 432356 c:\windows\system32\perfh009.dat
- 2001-10-25 13:00 . 2010-03-19 13:03 432356 c:\windows\system32\perfh009.dat
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2009-08-19 13762560]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableNotifications"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\ICQ6.5\\ICQ.exe"=
"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=
"d:\\Games\\Dragon Age\\bin_ship\\daorigins.exe"=
"d:\\Games\\Dragon Age\\DAOriginsLauncher.exe"=
"d:\\Games\\Dragon Age\\bin_ship\\daupdatersvc.service.exe"=
"c:\\Program Files\\Hamachi\\hamachi.exe"=
"d:\\Games\\ANNO 1404\\tools\\Anno4Web.exe"=
"c:\\Program Files\\CyberLink\\PowerCinema\\PowerCinema.exe"=
"c:\\Program Files\\CyberLink\\PlayMovie\\PlayMovie.exe"=
"c:\\Program Files\\CyberLink\\PlayMovie\\PMVService.exe"=
"c:\\Program Files\\CyberLink\\TV Enhance\\TVEnhance.exe"=
"c:\\Program Files\\CyberLink\\TV Enhance\\TVEService.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

S0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [14. 10. 2009 22:00 721904]
S2 {49DE1C67-83F8-4102-99E0-C16DCC7EEC796};{49DE1C67-83F8-4102-99E0-C16DCC7EEC796};c:\program files\CyberLink\PlayMovie\000.fcl [2. 3. 2010 19:32 61424]
S2 TVECapSvc;TVEnhance Background Capture Service (TBCS);c:\program files\CyberLink\TV Enhance\Kernel\TV\TVECapSvc.exe [2. 3. 2010 19:33 364635]
S2 TVESched;TVEnhance Task Scheduler (TTS));c:\program files\CyberLink\TV Enhance\Kernel\TV\TVESched.exe [2. 3. 2010 19:33 172121]
S3 Com4QLBEx;Com4QLBEx;c:\program files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe [26. 9. 2009 18:49 193840]
S3 DAUpdaterSvc;Dragon Age: Origins - Content Updater;d:\games\Dragon Age\bin_ship\daupdatersvc.service.exe [25. 1. 2010 20:01 25832]
S3 s816bus;Sony Ericsson Device 816 driver (WDM);c:\windows\system32\drivers\s816bus.sys [11. 12. 2009 21:16 81832]
S3 s816mdfl;Sony Ericsson Device 816 USB WMC Modem Filter;c:\windows\system32\drivers\s816mdfl.sys [11. 12. 2009 21:17 13864]
S3 s816mdm;Sony Ericsson Device 816 USB WMC Modem Driver;c:\windows\system32\drivers\s816mdm.sys [11. 12. 2009 21:17 107304]
S3 s816mgmt;Sony Ericsson Device 816 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s816mgmt.sys [11. 12. 2009 21:18 99112]
S3 s816nd5;Sony Ericsson Device 816 USB Ethernet Emulation SEMCMR7 (NDIS);c:\windows\system32\drivers\s816nd5.sys [11. 12. 2009 21:19 21928]
S3 s816obex;Sony Ericsson Device 816 USB WMC OBEX Interface;c:\windows\system32\drivers\s816obex.sys [11. 12. 2009 21:17 97320]
S3 s816unic;Sony Ericsson Device 816 USB Ethernet Emulation SEMCMR7 (WDM);c:\windows\system32\drivers\s816unic.sys [11. 12. 2009 21:18 97704]
S3 u3kh;ASUS My Cinema U3000 Hybrid;c:\windows\system32\drivers\u3kh.sys [25. 2. 2010 2:40 1719808]
S3 u3khrc;ASUS Infrared Receiver;c:\windows\system32\drivers\u3khrc.sys [25. 2. 2010 2:40 13568]

--- Ostatní služby/ovladače v paměti ---

*NewlyCreated* - MDMXSDK
.
.
------- Doplňkový sken -------
.
FF - ProfilePath - c:\documents and settings\Petko\Data aplikací\Mozilla\Firefox\Profiles\3hzz7onb.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.google.sk/
FF - component: c:\program files\Mozilla Firefox\components\qippipe.dll

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".sk");
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -

HKCU-RunOnce-nltide3 - rundll32 advpack.dll
HKCU-RunOnce-nltide2 - rundll32 advpack.dll



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-21 13:31
Windows 5.1.2600 Service Pack 2 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet002\Services\{49DE1C67-83F8-4102-99E0-C16DCC7EEC796}]
"ImagePath"="\??\c:\program files\CyberLink\PlayMovie\000.fcl"
.
Celkový čas: 2010-03-21 13:32:02
ComboFix-quarantined-files.txt 2010-03-21 12:32
ComboFix2.txt 2010-03-19 16:03
ComboFix3.txt 2010-03-19 13:26

Před spuštěním: 1 577 713 664
Po spuštění: 1 544 040 448

- - End Of File - - 3964850AE2B865A226FFDF77480F2AE7

[nessay]

ano, na obidvoch pouzivam daemona.