Rootkit.kryptik.AF problém s virem

[ikata]

Tak pocitac uz vypadal normalne, ESET nasel 4 hrozby. Nicmene po restartu mi normalne nenabehl, nakonec jsem musela dat posledni znama funkcni konfigurace a asi jsem zase tam co jsem byla - eset nase 130 hrozeb.

[stell]

Pri tejto akcii je nutné mať ComboFix na ploche.

Vypni>FIREWALL>Antivir>Antispyware>vsetko rezidentne.

Otvor Notepad (Poznámkový blok) a zkopíruj do neho celý zeleny tex:

Kód: Vybrat vše

KILLALL::
File::
c:\windows\Tasks\WGASetup.job
c:\windows\system32\drivers\uiqev.sys
c:\windows\system32\drivers\clgjclj.sys
c:\windows\system32\drivers\vjcap.sys
c:\windows\system32\SET1DE1.tmp
c:\windows\system32\SET1DDE.tmp
c:\windows\system32\SET1DDF.tmp
c:\windows\system32\SET1DE2.tmp
FCOPY::
c:\windows\SoftwareDistribution\Download\1dab8d41b73a912c39f7d3fd77a4df39\sfcfiles.dll | c:\windows\system32\sfcfiles.dll
Driver::
VJCAP
clgjclj
vjcap
uiqev
Registry::
[-HKEY_LOCAL_MACHINE\System\ControlSet006\Services\clgjclj]
[-HKEY_LOCAL_MACHINE\System\ControlSet006\Services\vjcap]
RESTORE::
c:\windows\system32\Drivers\atapi.sys
srpeek::
c:\windows\system32\Drivers\atapi.sys
FixCSet::
Reboot::

Potom klik na Subor -> Uložiť ako.. .. -> Ako je Názov souboru tak do toho riadku napiš:CFScript.txt
Typ súboru tak tam vyberies *všetky súbory
A ulož ho na plochu.> Pozor CFScript.txt>Neotvarat a nemoze byt ani>CFScript.txt.txt A Urobis Toto :


Po skonceni skenu vlož log čo ComboFix vytvorí

[ikata]

ComboFix 10-04-13.03 - Sluníčko 14.04.2010 12:25:19.2.1 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.751.309 [GMT 2:00]
Spuštěný z: c:\documents and settings\Sluníčko\Plocha\ComboFix.exe
Použité ovládací přepínače :: c:\documents and settings\Sluníčko\Plocha\CFScript.txt
AV: ESET Smart Security 4.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
FW: ESET personal firewall *disabled* {E5E70D32-0101-4340-86A3-A7B0F1C8FFE0}

FILE ::
"c:\windows\system32\drivers\clgjclj.sys"
"c:\windows\system32\drivers\uiqev.sys"
"c:\windows\system32\drivers\vjcap.sys"
"c:\windows\system32\SET1DDE.tmp"
"c:\windows\system32\SET1DDF.tmp"
"c:\windows\system32\SET1DE1.tmp"
"c:\windows\system32\SET1DE2.tmp"
"c:\windows\Tasks\WGASetup.job"
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\drivers\clgjclj.sys
c:\windows\system32\drivers\uiqev.sys
c:\windows\system32\drivers\vjcap.sys
c:\windows\system32\SET1DDE.tmp
c:\windows\system32\SET1DDF.tmp
c:\windows\system32\SET1DE1.tmp
c:\windows\system32\SET1DE2.tmp
c:\windows\Tasks\WGASetup.job

Nakažená kopie c:\windows\system32\Drivers\atapi.sys byla nalezena a vyléčena.
Obnovena kopie z - c:\windows\ERDNT\cache\atapi.sys

.
--------------- FCopy ---------------

c:\windows\SoftwareDistribution\Download\1dab8d41b73a912c39f7d3fd77a4df39\sfcfiles.dll --> c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_CLGJCLJ
-------\Service_clgjclj


((((((((((((((((((((((((( Soubory vytvořené od 2010-03-14 do 2010-04-14 )))))))))))))))))))))))))))))))
.

2010-04-14 06:44 . 2010-03-29 22:46 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-04-14 06:44 . 2010-03-29 22:45 20824 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-04-14 06:44 . 2010-04-14 08:10 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-04-14 06:41 . 2010-04-14 06:41 5918776 ----a-w- c:\program files\mbam-setup-1.45.exe
2010-04-12 07:12 . 2009-12-09 10:11 2191360 -c----w- c:\windows\system32\dllcache\ntoskrnl.exe
2010-04-12 07:12 . 2009-12-09 10:11 2147328 -c----w- c:\windows\system32\dllcache\ntkrnlmp.exe
2010-04-12 07:12 . 2009-12-09 10:11 2025984 -c----w- c:\windows\system32\dllcache\ntkrpamp.exe
2010-04-12 07:11 . 2009-12-04 18:22 455424 -c----w- c:\windows\system32\dllcache\mrxsmb.sys
2010-04-12 06:47 . 2008-04-14 06:52 112640 ----a-w- c:\windows\system32\wucltui.dll
2010-04-12 06:47 . 2008-04-14 06:52 1135616 ----a-w- c:\windows\system32\wuaueng.dll
2010-04-12 06:47 . 2008-04-14 06:52 111104 ------w- c:\windows\system32\wuauclt.exe
2010-04-12 06:47 . 2008-04-14 06:52 431104 ----a-w- c:\windows\system32\wuapi.dll
2010-04-12 06:47 . 2008-04-14 06:51 66560 ----a-w- c:\windows\system32\cdm.dll
2010-04-09 11:31 . 2010-04-09 11:35 -------- d-----w- c:\windows\L2Schemas
2010-04-09 11:31 . 2010-04-09 11:34 -------- d-----w- c:\windows\system32\cs
2010-04-09 11:31 . 2010-04-09 11:31 -------- d-----w- c:\windows\NLDRV
2010-04-09 10:52 . 2008-04-14 06:52 120320 ----a-w- c:\windows\system32\wuweb.dll
2010-04-09 10:41 . 2001-10-25 14:00 14848 -c--a-w- c:\windows\system32\dllcache\register.exe
2010-04-09 10:40 . 2008-04-14 06:48 6656 -c--a-w- c:\windows\system32\dllcache\kbdlk41a.dll
2010-04-09 10:39 . 2008-04-14 06:52 42496 -c--a-w- c:\windows\system32\dllcache\davcdata.exe
2010-04-09 10:38 . 2001-10-25 14:00 50176 -c--a-w- c:\windows\system32\dllcache\adrot.dll
2010-04-09 10:35 . 2001-10-25 14:00 12288 -c--a-w- c:\windows\system32\dllcache\nmevtmsg.dll
2010-04-09 10:35 . 2001-10-25 14:00 12288 ----a-w- c:\windows\system32\nmevtmsg.dll
2010-04-09 10:35 . 2001-10-25 14:00 16384 -c--a-w- c:\windows\system32\dllcache\isignup.exe
2010-04-09 10:35 . 2001-10-25 14:00 12288 -c--a-w- c:\windows\system32\dllcache\wb32.exe
2010-04-09 10:35 . 2001-10-25 14:00 12288 -c--a-w- c:\windows\system32\dllcache\cb32.exe
2010-04-09 10:32 . 2001-10-25 14:00 5632 -c--a-w- c:\windows\system32\dllcache\write.exe
2010-04-09 09:47 . 2008-04-13 20:05 20992 ----a-w- c:\windows\system32\drivers\RTL8139.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-13 06:52 . 2007-04-26 09:18 86327 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-04-13 06:52 . 2007-04-26 09:18 2740 ----a-w- c:\windows\pchealth\helpctr\PackageStore\SkuStore.bin
2010-04-13 05:25 . 2002-09-23 12:00 61958 ----a-w- c:\windows\system32\perfc005.dat
2010-04-13 05:25 . 2002-09-23 12:00 379294 ----a-w- c:\windows\system32\perfh005.dat
2010-04-12 10:20 . 2007-10-18 11:37 664 ----a-w- c:\windows\system32\d3d9caps.dat
2010-04-09 10:33 . 2007-04-26 09:15 23544 ----a-w- c:\windows\system32\emptyregdb.dat
2010-04-02 05:59 . 2010-02-16 10:36 -------- d-----w- c:\program files\ICQ7.0
2010-04-01 07:47 . 2008-07-08 06:10 -------- d-----w- c:\program files\ICQToolbar
2010-03-24 09:27 . 2008-10-03 06:58 -------- d-----w- c:\program files\Temp
2010-03-24 09:27 . 2008-10-03 06:58 -------- d-----w- c:\program files\database
2010-03-24 09:16 . 2004-06-19 11:43 17188 ----a-w- c:\program files\BioEdit.ini
2010-02-26 05:43 . 2008-04-14 06:51 81920 ----a-w- c:\windows\system32\ieencode.dll
2010-02-19 23:47 . 2010-02-19 23:47 3604480 ----a-w- c:\windows\system32\GPhotos.scr
2010-02-16 11:28 . 2008-10-03 07:35 -------- d-----w- c:\program files\ICQ6Toolbar
2010-02-16 10:33 . 2010-01-26 10:11 12554392 ----a-w- c:\program files\install_icq7.exe
2010-02-16 10:30 . 2010-01-14 12:49 -------- d-----w- c:\program files\sport_tj
2010-02-15 17:38 . 2010-02-15 17:38 -------- d-----w- c:\program files\Microsoft Silverlight
2009-04-27 11:40 . 2009-04-27 11:40 1356393 ----a-w- c:\program files\casp-1.2.2-setup.exe
2009-04-20 14:20 . 2009-04-20 14:20 1744057 ----a-w- c:\program files\rooarr502.exe
2009-02-24 09:48 . 2008-09-29 12:38 1410928 ----a-w- c:\program files\setup_Fotostar_Offline_client.exe
2008-12-16 12:06 . 2008-12-16 12:06 6104632 ----a-w- c:\program files\picasaweb-current-setup.exe
2008-11-07 09:16 . 2008-11-07 09:16 1685156 ----a-w- c:\program files\pf-setup-en.exe
2008-02-05 08:55 . 2008-02-05 08:55 27750576 ----a-w- c:\program files\Nokia_PC_Suite_rel_6_85_14_1_cze_web.exe
2007-12-12 10:30 . 2007-12-12 11:26 57405632 ----a-w- c:\program files\avg75f_503a1205.exe
2007-08-17 11:34 . 2007-08-02 13:38 3362502 ----a-w- c:\program files\cxp_free.exe
2007-08-07 13:39 . 2007-08-07 13:33 23402288 ----a-w- c:\program files\AdbeRdr810_en_US.exe
2007-06-17 12:01 . 2007-06-17 12:01 1303 ----a-w- c:\program files\LICENSE.TXT
2007-06-17 12:00 . 2007-06-17 12:00 67473 ----a-w- c:\program files\ReadMe.txt
2007-06-17 10:45 . 2007-06-17 10:45 6232064 ----a-w- c:\program files\BioEdit.exe
2004-07-26 02:16 . 2008-02-18 09:15 1117491 ----a-w- c:\program files\dvdshrink32setup.exe
2004-05-18 15:32 . 2007-05-11 09:00 1987557 ----a-w- c:\program files\Total Commander 5.5 - full.exe
.

(((((((((((((((((((((((((((((((((((((((((( SR_Search ))))))))))))))))))))))))))))))))))))))))))))))))))))))))

[7] 9F3A2F5AA6875C72BF062C712CFA2674 96512 c:\windows\system32\drivers\atapi.sys
[7] 9F3A2F5AA6875C72BF062C712CFA2674 96512 \RP3\A0020460.sys
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Ahead\lib\NMBgMonitor.exe" [2006-02-01 98304]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-07-16 68856]
"ICQ"="c:\program files\ICQ7.0\ICQ.exe" [2010-03-28 133368]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SiS Tray"="c:\windows\system32\sistray.EXE" [2002-05-09 303104]
"SiSUSBRG"="c:\windows\sisUSBrg.exe" [2002-04-25 32768]
"HTpatch"="c:\windows\htpatch.exe" [2002-10-30 28672]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2006-01-12 155648]
"HPDJ Taskbar Utility"="c:\windows\system32\spool\drivers\w32x86\3\hpztsb04.exe" [2001-09-12 196608]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 40048]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 110592]
"StatusClient"="c:\program files\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe" [2002-12-16 36864]
"TomcatStartup"="c:\program files\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe" [2003-03-31 155648]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-01-31 385024]
"PAC207_Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"ToolBoxFX"="c:\program files\HP\ToolBoxFX\bin\HPTLBXFX.exe" [2006-06-15 49152]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2005-02-16 49152]
"egui"="c:\program files\ESET\ESET Smart Security\egui.exe" [2009-05-14 2029640]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nlsf"="move" [X]
"tscuninstall"="c:\windows\system32\tscupgrd.exe" [2004-08-17 44544]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Hewlett-Packard\\Toolbox2.0\\Javasoft\\JRE\\1.3.1\\bin\\javaw.exe"=
"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\ICQ7.0\\ICQ.exe"=
"c:\\Program Files\\ICQ7.0\\aolload.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

R1 ehdrv;ehdrv;c:\windows\system32\drivers\ehdrv.sys [6.2.2009 15:23 107256]
R2 ekrn;ESET Service;c:\program files\ESET\ESET Smart Security\ekrn.exe [14.5.2009 15:47 731840]
R2 ICQ Service;ICQ Service;c:\program files\ICQ6Toolbar\ICQ Service.exe [3.10.2008 9:35 246520]
S1 nod32drv;nod32drv;c:\windows\system32\drivers\nod32drv.sys --> c:\windows\system32\drivers\nod32drv.sys [?]
S2 gupdate1ca4c2abec57d35;Služba Google Update (gupdate1ca4c2abec57d35);c:\program files\Google\Update\GoogleUpdate.exe [13.10.2009 19:29 133104]
S3 PAC207;e-Messenger 112;c:\windows\system32\drivers\pfc027.sys [8.10.2009 15:47 616064]
.
Obsah adresáře 'Naplánované úlohy'

2010-04-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2007-08-29 13:57]

2010-04-14 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-10-13 17:28]

2010-04-14 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-10-13 17:28]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.seznam.cz/
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
mDefault_Search_URL = hxxp://www.google.com/ie
uInternet Settings,ProxyOverride = <local>;*.local
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
mSearchAssistant = hxxp://www.google.com/ie
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: E&xportovat do aplikace Microsoft Office Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: {{88EB38EF-4D2C-436D-ABD3-56B232674062} - c:\program files\ICQ7.0\ICQ.exe
DPF: {5F509E42-537E-482B-B66C-145BC170054C} - hxxp://sberna.foto.cz/snadno-vlozit-fotografie/fs/FotoStarPhotoUploader.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-04-14 12:37
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HTpatch = c:\windows\htpatch.exe?ows\CurrentVersion\Run???\???/?%[??????([??([??????????????????%[??%[?C????([$?????%[????????????S?%[????????m?%[???w????(???{??w???w???????w???w??%[????????d???b6%[%?%[??([????"?%[A?%[??'[.??wZ?%[?3%[?3%[????st.I??????&[????d???0=%[?K%[

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(3400)
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\SolidDocuments\SolidConverterPDF\SCPDF\SolidPdfService.exe
c:\windows\system32\rundll32.exe
c:\program files\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Celkový čas: 2010-04-14 12:44:10 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-04-14 10:44
ComboFix2.txt 2010-04-14 09:30

Před spuštěním: Volných bajtů: 57 213 849 600
Po spuštění: Volných bajtů: 57 154 756 608

- - End Of File - - 8CDBF145F39187CD171AAE43A1935EC6

[stell]

1:

1. Je potřeba vypnout nástroj obnova systému - Ovládací panely>systém>obnovení systému>vypnout nástroj obnovení systému>OK nebo použít a nyní jen restartovat PC
2. Po restartu je tento adresář kompletně smazán, obnovu opět zapnout. http://www.viry.cz/forum/viewtopic.php?f=11&t=47040

2.Odinstaluj combofix-start-spustit-vloz prikaz combofix /uninstall
klik ok
3:

Stáhni, nainstaluj program CCleaner - http://www.ccleaner.com/download/downloadpage.aspx?f=2
- PravyKlik na kos-spustit ccleaner ->>>Cakas>>na cistenie,,
PravyKlik na kos-otvorit ccleaner-záložka Windows a stiskni Analyzovat a poté Spustit Cleaner
- Klikni na záložku Aplikace a stiskni Analyzovat a poté Spustit Cleaner
- Klikni na Registry, stiskni Hledej problémy, po dokončení skenování klikni na Opravit vybrané problémy,
-zvol Ano pro vytvoření zálohy, ulož nabídnutý soubor a klikni na Opravit všechny problémy,

a napis ako je na tom pocitac

[ikata]

Vypada to dobre, pocitac nabehl hned, ESET nehlasi zadne hrozby.

[stell]

ok,potom tot vse.

[ikata]

Mnohokrate dekuji za pomoc, rady a navody!

[stell]

nemas zaco.