Odvirování PC, zrychlení počítače, vzdálená pomoc prostřednictvím služby neslape.cz

pro Motji, 4. PC

Máte problém s virem? Vložte sem log z FRST nebo RSIT.

Moderátor: Moderátoři

Pravidla fóra
Pokud chcete pomoc, vložte log z FRST [návod zde] nebo RSIT [návod zde]

Jednotlivé thready budou po vyřešení uzamčeny. Stejně tak ty, které budou nečinné déle než 14 dní. Vizte Pravidlo o zamykání témat. Děkujeme za pochopení.

!NOVINKA!
Nově lze využívat služby vzdálené pomoci, kdy se k vašemu počítači připojí odborník a bližší informace o problému si od vás získá telefonicky! Více na www.neslape.cz
Odpovědět
Zpráva
Autor
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: pro Motji, 4. PC

#16 Příspěvek od motji »

Potvora, ta si ho bude hlídat :roll:
Ale zkusíme to :o , když to nepůjde, něco vymyslíme.

Daemon jsem potřebovala odinstalovat, protože zkrwsluje výsledky Gmeru :) .

Vydržte chvilku, hned sem hodím skript.
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: pro Motji, 4. PC

#17 Příspěvek od motji »

:arrow: Stáhněte Avenger
http://swandog46.geekstogo.com/avenger.exe

-spustíte program a potvrdíte kliknutím na ok,tím potvrzujete, že všechny činnosti s tím spojené činíte na vlastní riziko.
-Po odkliknutí se objeví hlavní okno programu,do bílého okna něj zkopírujte tento skript:

Kód: Vybrat vše

Begin copying here:
Files to move:
c:\Documents and Settings\Janka S\Dokumenty\Preberanie\ndis.sys | c:\windows\system32\drivers\ndis.sys
:!: -zaškrtněte políčko scan for rootkits

a klikněte na tlačítko Execute.
-Potom se objeví okno,kde kliknutím Yes potvrdíte spuštění skriptu. Pak znovu tlačítkem yes potvrdíte restart počítače.
-Po restartu by se měl otevřít poznámkový blok s logem o vykonání skriptu, bude také uložený v C:\avenger.txt.
-Log vložte sem

A pak hned spusťte combofix s tímto skriptem

Kód: Vybrat vše

Restore::
c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\ndis.sys
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#18 Příspěvek od nessay »

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: could not open file "c:\Documents and Settings\Janka S\Dokumenty\Preberanie\ndis.sys" for move operation
File move operation "c:\Documents and Settings\Janka S\Dokumenty\Preberanie\ndis.sys|c:\windows\system32\drivers\ndis.sys" failed!
Status: 0xc0000022 (STATUS_ACCESS_DENIED)


Completed script processing.

*******************

Finished! Terminate.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#19 Příspěvek od nessay »

ComboFix 10-03-19.08 - Janka S . 03. 2010 23:51:21.3.2 - x86 MINIMAL
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.420.1029.18.2039.1815 [GMT 1:00]
Spuštěný z: c:\documents and settings\Janka S\Plocha\potvora.com.exe
Použité ovládací přepínače :: c:\documents and settings\Janka S\Plocha\CFScript.txt
AV: ESET NOD32 Antivirus 4.0 *On-access scanning enabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}

VAROVÁNÍ - NA TOMTO POČÍTAČI NENÍ NAINSTALOVÁNA KONZOLA PRO ZOTAVENÍ !!
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

Nakažená kopie c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\ndis.sys byla nalezena a vyléčena.
Obnovena kopie z - c:\system volume information\_restore{7E7EE45D-3D50-4375-9D5E-95BE09B47953}\RP1\A0000075.sys

.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_KGOOTKIT


((((((((((((((((((((((((( Soubory vytvořené od 2010-02-25 do 2010-03-25 )))))))))))))))))))))))))))))))
.

2010-03-24 18:49 . 2010-03-24 18:49 -------- d-----w- c:\windows\system32\%USERPROFILE%
2010-03-23 21:12 . 2010-03-23 21:22 -------- d-----w- C:\potvora.com11051p
2010-03-23 20:34 . 2010-03-23 20:46 -------- d-----w- C:\potvora.com
2010-03-21 17:19 . 2010-03-25 20:01 114257 ----a-w- C:\UsbFix_Upload_Me_JANKA.zip
2010-03-21 16:48 . 2010-03-21 17:19 -------- d-----w- C:\UsbFix
2010-03-21 16:46 . 2010-03-21 16:47 -------- d-----w- C:\rsit
2010-03-21 16:46 . 2010-03-21 16:46 -------- d-----w- c:\program files\trend micro
2010-03-14 11:14 . 2010-03-14 19:58 -------- d-----w- c:\program files\Common Files\Adobe
2010-03-13 16:22 . 2010-03-13 16:22 -------- d-----r- c:\documents and settings\LocalService\Oblíbené položky
2010-03-10 20:34 . 2010-03-10 20:34 -------- d-----w- c:\program files\Opera
2010-03-08 22:36 . 2010-02-12 10:03 293376 ------w- c:\windows\system32\browserchoice.exe
2010-03-01 15:17 . 2010-03-01 15:17 -------- d-----w- c:\program files\ESET
2010-03-01 15:09 . 2008-06-14 18:00 272128 -c----w- c:\windows\system32\dllcache\bthport.sys
2010-03-01 15:08 . 2009-12-04 13:37 456832 -c----w- c:\windows\system32\dllcache\mrxsmb.sys
2010-03-01 15:07 . 2009-12-09 10:21 2065280 -c----w- c:\windows\system32\dllcache\ntkrnlpa.exe
2010-03-01 15:07 . 2009-12-09 10:21 2188160 -c----w- c:\windows\system32\dllcache\ntoskrnl.exe
2010-03-01 15:07 . 2009-12-09 10:21 2144768 -c----w- c:\windows\system32\dllcache\ntkrnlmp.exe
2010-03-01 15:07 . 2009-12-09 10:21 2022912 -c----w- c:\windows\system32\dllcache\ntkrpamp.exe
2010-02-28 20:36 . 2004-08-17 12:49 33792 -c--a-w- c:\windows\system32\dllcache\lmmib2.dll
2010-02-28 20:35 . 2004-08-17 12:49 24064 -c--a-w- c:\windows\system32\dllcache\compfilt.dll
2010-02-28 20:27 . 2004-08-03 21:31 20992 ----a-w- c:\windows\system32\drivers\RTL8139.sys
2010-02-28 20:20 . 2001-10-25 13:00 24661 -c--a-w- c:\windows\system32\dllcache\spxcoins.dll
2010-02-28 20:20 . 2001-10-25 13:00 24661 ----a-w- c:\windows\system32\spxcoins.dll
2010-02-28 20:20 . 2001-10-25 13:00 13312 -c--a-w- c:\windows\system32\dllcache\irclass.dll
2010-02-28 20:20 . 2001-10-25 13:00 13312 ----a-w- c:\windows\system32\irclass.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-04 06:15 . 2001-10-25 13:00 46394 ----a-w- c:\windows\system32\perfc005.dat
2010-03-04 06:15 . 2001-10-25 13:00 310228 ----a-w- c:\windows\system32\perfh005.dat
2010-03-01 07:58 . 2004-08-03 20:14 212736 ----a-w- c:\windows\system32\drivers\ndis.sys
2010-02-28 20:32 . 2009-10-18 13:05 22916 ----a-w- c:\windows\system32\emptyregdb.dat
2009-12-31 15:06 . 2006-11-08 11:30 352640 ----a-w- c:\windows\system32\drivers\srv.sys
.

------- Sigcheck -------

[-] 2010-03-01 . 558635D3AF1C7546D26067D5D9B6959E . 212736 . . [5.1.2600.2180] . . c:\windows\system32\drivers\ndis.sys
[-] 2010-03-01 . 558635D3AF1C7546D26067D5D9B6959E . 212736 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\ndis.sys
[7] 2004-08-03 . 558635D3AF1C7546D26067D5D9B6959E . 182912 . . [5.1.2600.2180] . . c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\ndis.sys

[-] 2008-04-14 . 56A6034E7764E23D9114223EB3523925 . 1571840 . . [5.1.2600.5512] . . c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\sfcfiles.dll
[-] 2006-11-08 . 84F5FA7480E5680B8DD5A90CE7D8CA73 . 1548288 . . [5.1.2600.2180] . . c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2010-03-23_20.43.45 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-03-24 07:36 . 2010-03-24 07:36 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\MSHist012010032420100325\index.dat
+ 2010-03-23 12:26 . 2010-03-23 22:31 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\MSHist012010032320100324\index.dat
- 2010-03-23 12:26 . 2010-03-23 20:14 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\MSHist012010032320100324\index.dat
+ 2009-10-18 13:17 . 2010-03-25 19:07 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
- 2009-10-18 13:17 . 2010-03-23 20:14 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
+ 2010-03-23 22:30 . 2010-03-25 19:07 32768 c:\windows\system32\config\systemprofile\Cookies\index.dat
- 2009-10-18 13:17 . 2010-03-23 20:14 32768 c:\windows\system32\config\systemprofile\Cookies\index.dat
+ 2009-10-18 13:17 . 2010-03-25 19:07 1179648 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
- 2009-10-18 13:17 . 2010-03-23 20:22 1179648 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2009-12-11 948672]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"tscuninstall"="c:\windows\system32\tscupgrd.exe" [2004-08-17 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=

R1 ehdrv;ehdrv;c:\windows\system32\drivers\ehdrv.sys [16. 11. 2009 9:03 108792]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [16. 11. 2009 9:06 96408]
R2 ekrn;ESET Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [16. 11. 2009 9:04 735960]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\ambfilt.sys [5. 8. 2008 19:10 1684736]
.
.
------- Doplňkový sken -------
.
uInternet Connection Wizard,ShellNext = iexplore
IE: E&xportovať do programu Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\Janka S\Data aplikací\Mozilla\Firefox\Profiles\jjt0p7o7.default\

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\program files\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".sk");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-25 23:56
Windows 5.1.2600 Service Pack 2 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe >>UNKNOWN [0x89B9F580]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xba0ecfc3
\Driver\ACPI -> ACPI.sys @ 0xb9f7fcb8
\Driver\atapi -> atapi.sys @ 0xb9ef37b4
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x80582544
ParseProcedure -> ntkrnlpa.exe @ 0x80581684
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x80582544
ParseProcedure -> ntkrnlpa.exe @ 0x80581684
NDIS: Atheros AR928X Wireless Network Adapter -> SendCompleteHandler -> NDIS.sys @ 0x89b18bc3
PacketIndicateHandler -> NDIS.sys @ 0x89b06a0b
SendHandler -> NDIS.sys @ 0x89b1ab31
user & kernel MBR OK

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(3244)
c:\windows\system32\msi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\windows\system32\WgaTray.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Celkový čas: 2010-03-25 23:59:21 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-03-25 22:59
ComboFix2.txt 2010-03-23 21:22
ComboFix3.txt 2010-03-23 20:46

Před spuštěním: Volných bajtů: 12 050 763 776
Po spuštění: Volných bajtů: 12 028 821 504

- - End Of File - - 4611C4D1F498777572C37DEDCB2F4F4E
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: pro Motji, 4. PC

#20 Příspěvek od motji »

Tak to se nepovedlo, ale zkusíme to jinak :)

:arrow: Nový skript pro combofix

Kód: Vybrat vše

Restore::
c:\windows\system32\drivers\ndis.sys
c:\windows\system32\dllcache\ndis.sys

:arrow: Stahněte a použijte
http://go.microsoft.com/?linkid=9668866
(resethost)
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#21 Příspěvek od nessay »

najskor pouzit ten combofix?
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: pro Motji, 4. PC

#22 Příspěvek od motji »

To je jedno :)
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#23 Příspěvek od nessay »

ComboFix 10-03-19.08 - Janka S . 03. 2010 0:29.4.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.420.1029.18.2039.1654 [GMT 1:00]
Spuštěný z: c:\documents and settings\Janka S\Plocha\potvora.com.exe
Použité ovládací přepínače :: c:\documents and settings\Janka S\Plocha\CFScript.txt
AV: ESET NOD32 Antivirus 4.0 *On-access scanning enabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
* Rezidentní štít AV je zapnutý


VAROVÁNÍ - NA TOMTO POČÍTAČI NENÍ NAINSTALOVÁNA KONZOLA PRO ZOTAVENÍ !!
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

Nakažená kopie c:\windows\system32\dllcache\ndis.sys byla nalezena a vyléčena.
Obnovena kopie z - c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\ndis.sys

.
((((((((((((((((((((((((( Soubory vytvořené od 2010-02-25 do 2010-03-25 )))))))))))))))))))))))))))))))
.

2010-03-24 18:49 . 2010-03-24 18:49 -------- d-----w- c:\windows\system32\%USERPROFILE%
2010-03-23 21:12 . 2010-03-23 21:22 -------- d-----w- C:\potvora.com11051p
2010-03-23 20:34 . 2010-03-23 20:46 -------- d-----w- C:\potvora.com
2010-03-21 17:19 . 2010-03-25 20:01 114257 ----a-w- C:\UsbFix_Upload_Me_JANKA.zip
2010-03-21 16:48 . 2010-03-21 17:19 -------- d-----w- C:\UsbFix
2010-03-21 16:46 . 2010-03-21 16:47 -------- d-----w- C:\rsit
2010-03-21 16:46 . 2010-03-21 16:46 -------- d-----w- c:\program files\trend micro
2010-03-14 11:14 . 2010-03-14 19:58 -------- d-----w- c:\program files\Common Files\Adobe
2010-03-13 16:22 . 2010-03-13 16:22 -------- d-----r- c:\documents and settings\LocalService\Oblíbené položky
2010-03-10 20:34 . 2010-03-10 20:34 -------- d-----w- c:\program files\Opera
2010-03-08 22:36 . 2010-02-12 10:03 293376 ------w- c:\windows\system32\browserchoice.exe
2010-03-01 15:17 . 2010-03-01 15:17 -------- d-----w- c:\program files\ESET
2010-03-01 15:09 . 2008-06-14 18:00 272128 -c----w- c:\windows\system32\dllcache\bthport.sys
2010-03-01 15:08 . 2009-12-04 13:37 456832 -c----w- c:\windows\system32\dllcache\mrxsmb.sys
2010-03-01 15:07 . 2009-12-09 10:21 2065280 -c----w- c:\windows\system32\dllcache\ntkrnlpa.exe
2010-03-01 15:07 . 2009-12-09 10:21 2188160 -c----w- c:\windows\system32\dllcache\ntoskrnl.exe
2010-03-01 15:07 . 2009-12-09 10:21 2144768 -c----w- c:\windows\system32\dllcache\ntkrnlmp.exe
2010-03-01 15:07 . 2009-12-09 10:21 2022912 -c----w- c:\windows\system32\dllcache\ntkrpamp.exe
2010-02-28 20:36 . 2004-08-17 12:49 33792 -c--a-w- c:\windows\system32\dllcache\lmmib2.dll
2010-02-28 20:35 . 2004-08-17 12:49 24064 -c--a-w- c:\windows\system32\dllcache\compfilt.dll
2010-02-28 20:27 . 2004-08-03 21:31 20992 ----a-w- c:\windows\system32\drivers\RTL8139.sys
2010-02-28 20:20 . 2001-10-25 13:00 24661 -c--a-w- c:\windows\system32\dllcache\spxcoins.dll
2010-02-28 20:20 . 2001-10-25 13:00 24661 ----a-w- c:\windows\system32\spxcoins.dll
2010-02-28 20:20 . 2001-10-25 13:00 13312 -c--a-w- c:\windows\system32\dllcache\irclass.dll
2010-02-28 20:20 . 2001-10-25 13:00 13312 ----a-w- c:\windows\system32\irclass.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-04 06:15 . 2001-10-25 13:00 46394 ----a-w- c:\windows\system32\perfc005.dat
2010-03-04 06:15 . 2001-10-25 13:00 310228 ----a-w- c:\windows\system32\perfh005.dat
2010-03-01 07:58 . 2004-08-03 20:14 212736 ----a-w- c:\windows\system32\drivers\ndis.sys
2010-02-28 20:32 . 2009-10-18 13:05 22916 ----a-w- c:\windows\system32\emptyregdb.dat
2009-12-31 15:06 . 2006-11-08 11:30 352640 ----a-w- c:\windows\system32\drivers\srv.sys
.

------- Sigcheck -------

[-] 2010-03-01 . 558635D3AF1C7546D26067D5D9B6959E . 212736 . . [5.1.2600.2180] . . c:\windows\system32\drivers\ndis.sys
[7] 2004-08-03 . 558635D3AF1C7546D26067D5D9B6959E . 182912 . . [5.1.2600.2180] . . c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\ndis.sys
[7] 2004-08-03 . 558635D3AF1C7546D26067D5D9B6959E . 182912 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\ndis.sys

[-] 2008-04-14 . 56A6034E7764E23D9114223EB3523925 . 1571840 . . [5.1.2600.5512] . . c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\sfcfiles.dll
[-] 2006-11-08 . 84F5FA7480E5680B8DD5A90CE7D8CA73 . 1548288 . . [5.1.2600.2180] . . c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2010-03-23_20.43.45 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-03-24 07:36 . 2010-03-24 07:36 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\MSHist012010032420100325\index.dat
- 2010-03-23 12:26 . 2010-03-23 20:14 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\MSHist012010032320100324\index.dat
+ 2010-03-23 12:26 . 2010-03-23 22:31 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\MSHist012010032320100324\index.dat
+ 2009-10-18 13:17 . 2010-03-25 19:07 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
- 2009-10-18 13:17 . 2010-03-23 20:14 32768 c:\windows\system32\config\systemprofile\Local Settings\History\History.IE5\index.dat
+ 2009-10-18 13:17 . 2010-03-25 19:07 1179648 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
- 2009-10-18 13:17 . 2010-03-23 20:22 1179648 c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2009-12-11 948672]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"tscuninstall"="c:\windows\system32\tscupgrd.exe" [2004-08-17 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=

R1 ehdrv;ehdrv;c:\windows\system32\drivers\ehdrv.sys [16. 11. 2009 9:03 108792]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [16. 11. 2009 9:06 96408]
R2 ekrn;ESET Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [16. 11. 2009 9:04 735960]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\ambfilt.sys [5. 8. 2008 19:10 1684736]
.
.
------- Doplňkový sken -------
.
uInternet Connection Wizard,ShellNext = iexplore
IE: E&xportovať do programu Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\Janka S\Data aplikací\Mozilla\Firefox\Profiles\jjt0p7o7.default\

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\program files\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".sk");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-26 00:33
Windows 5.1.2600 Service Pack 2 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe >>UNKNOWN [0x89D59580]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xba0ecfc3
\Driver\ACPI -> ACPI.sys @ 0xb9f7fcb8
\Driver\atapi -> atapi.sys @ 0xb9ef37b4
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x80582544
ParseProcedure -> ntkrnlpa.exe @ 0x80581684
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x80582544
ParseProcedure -> ntkrnlpa.exe @ 0x80581684
NDIS: Atheros AR928X Wireless Network Adapter -> SendCompleteHandler -> NDIS.sys @ 0x89d41bc3
PacketIndicateHandler -> NDIS.sys @ 0x89d2fa0b
SendHandler -> NDIS.sys @ 0x89d43b31
user & kernel MBR OK

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(3312)
c:\windows\system32\msi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\windows\system32\WgaTray.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Celkový čas: 2010-03-26 00:35:49 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-03-25 23:35
ComboFix2.txt 2010-03-25 22:59
ComboFix3.txt 2010-03-23 21:22
ComboFix4.txt 2010-03-23 20:46

Před spuštěním: Volných bajtů: 12 032 344 064
Po spuštění: Volných bajtů: 12 004 544 512

- - End Of File - - 2AEB88509814F384B316934F280FD3C8
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: pro Motji, 4. PC

#24 Příspěvek od motji »

Odolává a odolává :D . další pokus :) . Ještě mám pár nápadů, my se nevzdáme :D

Skript pro Avenger
Begin copying here:
Files to move:
c:\windows\system32\dllcache\ndis.sys | c:\windows\system32\drivers\ndis.sys
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#25 Příspěvek od nessay »

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: could not open file "c:\windows\system32\dllcache\ndis.sys" for move operation
File move operation "c:\windows\system32\dllcache\ndis.sys|c:\windows\system32\drivers\ndis.sys" failed!
Status: 0xc0000022 (STATUS_ACCESS_DENIED)


Completed script processing.

*******************

Finished! Terminate.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#26 Příspěvek od nessay »

nemal by som to ale robit v nudzovom rezime? ci to je jedno?
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: pro Motji, 4. PC

#27 Příspěvek od motji »

V nouzovém režimu to bude lepší.
Tak ještě jeden pokus. Na tom pc ale ztratíte připojení k internetu, nelekněte se.

Skript pro Avenger

Kód: Vybrat vše

Files to delete:
c:\windows\system32\drivers\ndis.sys
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#28 Příspěvek od nessay »

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: could not open file "c:\windows\system32\drivers\ndis.sys"
Deletion of file "c:\windows\system32\drivers\ndis.sys" failed!
Status: 0xc0000022 (STATUS_ACCESS_DENIED)


Completed script processing.

*******************

Finished! Terminate.
Nahoru
Uživatelský avatar
motji
VIP
VIP
Příspěvky: 23302
Registrován: 23 říj 2008 08:02

Re: pro Motji, 4. PC

#29 Příspěvek od motji »

Přečtěte si sz :)
máte inst.cd s win xp sp2?

Já budu ještě chvilku něco zkoušet :)

:arrow: Odinstalujte combofix přes Start - Spustit
- zkopírujte do okénka:

ComboFix /Uninstall

-stiskněte Enter
-To odinstaluje ComboFix a smaže s ním související soubory a složky.

:arrow: Combofix stahněte takto:
- pravým myšítkem klikněte na odkaz combofixu --uložit jako.. ,a teď ho přejmenujte na Potvora.com a uložte.


:arrow: Stáhněte na plochu, ukončete všechna aktivní okna a spusťte ComboFix - http://download.bleepingcomputer.com/sUBs/ComboFix.exe

:???: -souhlaste s instalací konzole pro zotavení :???:

- ComboFix je třeba spustit pod účtem s právy administrátora

- Před použitím vypněte všechny rezidentní bezpečnostní programy - antiviry, firewally, antispywary

- Po spuštění se zobrazí podmínky užití, potvrďte je stiskem tlačítka Ano

- Dále postupujte dle pokynů, během aplikování ComboFixu neklikejte do zobrazujícího se okna :!:

- Po dokončení skenování, trvajícího maximálně 10 minut, by měl program vytvořit log - C:\ComboFix.txt, zkopírujte celý jeho obsah sem
Nepoužívejte COMBOFIX bez doporučení rádce, může dojít k poškození systému!
Vždy před odvirováním počítače zazálohujte důležitá data :!:
Chcete podpořit naše forum? Informace zde

Obrázek

K zastižení jsem spíše v noci, mezi 21.-23. hodinou
Pokud máte nějaké dotazy, můžete mi napsat na email Motji(zavináč)forum.viry.cz.
Nahoru
nessay
Návštěvník
Návštěvník
Příspěvky: 67
Registrován: 18 bře 2010 10:52

Re: pro Motji, 4. PC

#30 Příspěvek od nessay »

ComboFix 10-03-25.04 - Janka S . 03. 2010 1:41.5.2 - x86 MINIMAL
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.420.1029.18.2039.1715 [GMT 1:00]
Spuštěný z: c:\documents and settings\Janka S\Plocha\potvora.com.exe
AV: ESET NOD32 Antivirus 4.0 *On-access scanning enabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}

VAROVÁNÍ - NA TOMTO POČÍTAČI NENÍ NAINSTALOVÁNA KONZOLA PRO ZOTAVENÍ !!
.

((((((((((((((((((((((((( Soubory vytvořené od 2010-02-26 do 2010-03-26 )))))))))))))))))))))))))))))))
.

2010-03-24 18:49 . 2010-03-24 18:49 -------- d-----w- c:\windows\system32\%USERPROFILE%
2010-03-23 21:12 . 2010-03-23 21:22 -------- d-----w- C:\potvora.com11051p
2010-03-23 20:34 . 2010-03-23 20:46 -------- d-----w- C:\potvora.com
2010-03-21 17:19 . 2010-03-25 20:01 114257 ----a-w- C:\UsbFix_Upload_Me_JANKA.zip
2010-03-21 16:48 . 2010-03-21 17:19 -------- d-----w- C:\UsbFix
2010-03-21 16:46 . 2010-03-21 16:47 -------- d-----w- C:\rsit
2010-03-21 16:46 . 2010-03-21 16:46 -------- d-----w- c:\program files\trend micro
2010-03-14 11:14 . 2010-03-14 19:58 -------- d-----w- c:\program files\Common Files\Adobe
2010-03-13 16:22 . 2010-03-13 16:22 -------- d-----r- c:\documents and settings\LocalService\Oblíbené položky
2010-03-10 20:34 . 2010-03-10 20:34 -------- d-----w- c:\program files\Opera
2010-03-08 22:36 . 2010-02-12 10:03 293376 ------w- c:\windows\system32\browserchoice.exe
2010-03-01 15:17 . 2010-03-01 15:17 -------- d-----w- c:\program files\ESET
2010-03-01 15:09 . 2008-06-14 18:00 272128 -c----w- c:\windows\system32\dllcache\bthport.sys
2010-03-01 15:08 . 2009-12-04 13:37 456832 -c----w- c:\windows\system32\dllcache\mrxsmb.sys
2010-03-01 15:07 . 2009-12-09 10:21 2065280 -c----w- c:\windows\system32\dllcache\ntkrnlpa.exe
2010-03-01 15:07 . 2009-12-09 10:21 2188160 -c----w- c:\windows\system32\dllcache\ntoskrnl.exe
2010-03-01 15:07 . 2009-12-09 10:21 2144768 -c----w- c:\windows\system32\dllcache\ntkrnlmp.exe
2010-03-01 15:07 . 2009-12-09 10:21 2022912 -c----w- c:\windows\system32\dllcache\ntkrpamp.exe
2010-02-28 20:36 . 2004-08-17 12:49 33792 -c--a-w- c:\windows\system32\dllcache\lmmib2.dll
2010-02-28 20:35 . 2004-08-17 12:49 24064 -c--a-w- c:\windows\system32\dllcache\compfilt.dll
2010-02-28 20:27 . 2004-08-03 21:31 20992 ----a-w- c:\windows\system32\drivers\RTL8139.sys
2010-02-28 20:20 . 2001-10-25 13:00 24661 -c--a-w- c:\windows\system32\dllcache\spxcoins.dll
2010-02-28 20:20 . 2001-10-25 13:00 24661 ----a-w- c:\windows\system32\spxcoins.dll
2010-02-28 20:20 . 2001-10-25 13:00 13312 -c--a-w- c:\windows\system32\dllcache\irclass.dll
2010-02-28 20:20 . 2001-10-25 13:00 13312 ----a-w- c:\windows\system32\irclass.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-04 06:15 . 2001-10-25 13:00 46394 ----a-w- c:\windows\system32\perfc005.dat
2010-03-04 06:15 . 2001-10-25 13:00 310228 ----a-w- c:\windows\system32\perfh005.dat
2010-03-01 07:58 . 2004-08-03 20:14 212736 ----a-w- c:\windows\system32\drivers\ndis.sys
2010-02-28 20:32 . 2009-10-18 13:05 22916 ----a-w- c:\windows\system32\emptyregdb.dat
2009-12-31 15:06 . 2006-11-08 11:30 352640 ----a-w- c:\windows\system32\drivers\srv.sys
.

------- Sigcheck -------

[-] 2010-03-01 07:58 . 1F4761387E0D5586FF86EBE19E00B86E . 212736 . . [------] . . c:\windows\system32\drivers\ndis.sys
[7] 2004-08-03 . 558635D3AF1C7546D26067D5D9B6959E . 182912 . . [5.1.2600.2180] . . c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\ndis.sys
[7] 2004-08-03 . 558635D3AF1C7546D26067D5D9B6959E . 182912 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\ndis.sys

[-] 2008-04-14 . 56A6034E7764E23D9114223EB3523925 . 1571840 . . [5.1.2600.5512] . . c:\windows\SoftwareDistribution\Download\44c8256673ca0542cb198384f8131b68\sfcfiles.dll
[-] 2006-11-08 . 84F5FA7480E5680B8DD5A90CE7D8CA73 . 1548288 . . [5.1.2600.2180] . . c:\windows\system32\sfcfiles.dll
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2009-12-11 948672]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"tscuninstall"="c:\windows\system32\tscupgrd.exe" [2004-08-17 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=

S1 ehdrv;ehdrv;c:\windows\system32\drivers\ehdrv.sys [16. 11. 2009 9:03 108792]
S1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [16. 11. 2009 9:06 96408]
S2 ekrn;ESET Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [16. 11. 2009 9:04 735960]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\ambfilt.sys [5. 8. 2008 19:10 1684736]
.
.
------- Doplňkový sken -------
.
uInternet Connection Wizard,ShellNext = iexplore
IE: E&xportovať do programu Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\Janka S\Data aplikací\Mozilla\Firefox\Profiles\jjt0p7o7.default\

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\program files\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".sk");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-26 01:46
Windows 5.1.2600 Service Pack 2 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
Celkový čas: 2010-03-26 01:47:47
ComboFix-quarantined-files.txt 2010-03-26 00:47
ComboFix2.txt 2010-03-25 23:35

Před spuštěním: Volných bajtů: 12 826 624 000
Po spuštění: Volných bajtů: 12 798 099 456

- - End Of File - - F51C461585528B25921DECAE9CA47DCB
Nahoru
Odpovědět

Zpět na „Řešení problémů, logy“