rustock.m

Zpráva

#16 Příspěvek od **Caroprd111** » 20 dub 2010 17:51

Ano, můžete ho odinstalovat.

Mifen · #17 Příspěvek od **Mifen** » 20 dub 2010 18:34

ComboFix 10-04-19.08 - administrator 20.04.2010 19:27:43.1.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.2047.1679 [GMT 2:00]
Spuštěný z: h:\documents and settings\Administrator.EP9\Plocha\ComboFix.exe
* Vytvořen nový Bod Obnovení
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

h:\windows\system32\2295763562.dat

.
((((((((((((((((((((((((( Soubory vytvořené od 2010-03-20 do 2010-04-20 )))))))))))))))))))))))))))))))
.

2010-04-20 16:07 . 2010-04-20 16:07 -------- d-----w- H:\_OTL
2010-04-20 14:31 . 2010-04-20 14:31 -------- d-----w- H:\rsit
2010-04-20 14:31 . 2010-04-20 14:31 -------- d-----w- h:\program files\trend micro
2010-04-13 06:58 . 2010-04-13 07:04 -------- d-----w- H:\$AVG

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-13 06:57 . 2008-11-10 16:24 -------- d-----w- h:\program files\AVG
2010-04-12 14:58 . 2008-11-07 13:38 791904 ----a-w- h:\windows\avgagent.exe
2010-03-29 06:36 . 2007-08-02 12:00 71746 ----a-w- h:\windows\system32\perfc005.dat
2010-03-29 06:36 . 2007-08-02 12:00 398316 ----a-w- h:\windows\system32\perfh005.dat
.

(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SkyTel"="SkyTel.EXE" [2006-05-17 2879488]
"RTHDCPL"="RTHDCPL.EXE" [2006-11-15 16270848]
"NvCplDaemon"="h:\windows\system32\NvCpl.dll" [2007-06-28 8466432]
"nwiz"="nwiz.exe" [2007-06-28 1626112]
"NvMediaCenter"="h:\windows\system32\NvMcTray.dll" [2007-06-28 81920]
"Adobe Reader Speed Launcher"="h:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-10-03 35696]
"Adobe ARM"="h:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2009-09-04 935288]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoWelcomeScreen"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"h:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 avgagent;AVG9 Remote Support Service (AvgAgent);avgagent.exe /srvfsys --> avgagent.exe [?]
R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller;h:\windows\system32\drivers\atl01_xp.sys [21.11.2007 22:27 35840]
S1 a129c789;a129c789;h:\windows\system32\drivers\a129c789.sys --> h:\windows\system32\drivers\a129c789.sys [?]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
.
Obsah adresáře 'Naplánované úlohy'
.
.
------- Doplňkový sken -------
.
IE: e&xportovat do aplikace microsoft excel - h:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-04-20 19:31
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
Celkový čas: 2010-04-20 19:32:56
ComboFix-quarantined-files.txt 2010-04-20 17:32

Před spuštěním: Volných bajtů: 89 885 126 656
Po spuštění: Volných bajtů: 89 965 342 720

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
h:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- - End Of File - - 82390E2E1E39306CE53DC3280695BE80

#18 Příspěvek od **Caroprd111** » 20 dub 2010 18:48

Pokud nemáte, přesuňte Combofix na plochu

Otevřete si Poznámkový blok a zkopírujte do něj text z bílého okénka.

Kód: Vybrat vše

Driver::
a129c789

File::
h:\windows\system32\drivers\a129c789.sys

Uložte Vámi vytvořený TXT soubor jako CFScript.txt na plochu
Po uložení uchopte vámi vytvořený skript levým myšítkem a přesuňte ho nad ikonu Combofixu, kde ho upustíte:
Po aplikaci na Vás vypadne další log,vložte ho sem

Může se stát, že po aplikaci skriptu a restartu Windows nenaběhnou, v tom případě znovu restartujte a přitom mačkejte F8, pak zvolte Poslední známou funkční konfiguraci

Obrázek

Tohle otestujte na http://www.virustotal.com/cs/
H:\WINDOWS\system32\services.exe

(Soubor nehledejte, jenom vložíte tučně označenou cestu, v případě hlášky "Soubor již byl testován" dejte otestovat znovu. Výsledek analýzy sem v podobě odkazu vložte.)

Mifen · #19 Příspěvek od **Mifen** » 20 dub 2010 19:17

ComboFix 10-04-19.08 - administrator 20.04.2010 19:59:01.2.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.2047.1487 [GMT 2:00]
Spuštěný z: h:\documents and settings\Administrator.EP9\Plocha\ComboFix.exe
Použité ovládací přepínače :: h:\documents and settings\Administrator.EP9\Plocha\CFScript.txt
* Vytvořen nový Bod Obnovení

FILE ::
"h:\windows\system32\drivers\a129c789.sys"
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_a129c789

((((((((((((((((((((((((( Soubory vytvořené od 2010-03-20 do 2010-04-20 )))))))))))))))))))))))))))))))
.

2010-04-20 16:07 . 2010-04-20 16:07 -------- d-----w- H:\_OTL
2010-04-20 14:31 . 2010-04-20 14:31 -------- d-----w- H:\rsit
2010-04-20 14:31 . 2010-04-20 14:31 -------- d-----w- h:\program files\trend micro
2010-04-13 06:58 . 2010-04-13 07:04 -------- d-----w- H:\$AVG

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-13 06:57 . 2008-11-10 16:24 -------- d-----w- h:\program files\AVG
2010-04-12 14:58 . 2008-11-07 13:38 791904 ----a-w- h:\windows\avgagent.exe
2010-03-29 06:36 . 2007-08-02 12:00 71746 ----a-w- h:\windows\system32\perfc005.dat
2010-03-29 06:36 . 2007-08-02 12:00 398316 ----a-w- h:\windows\system32\perfh005.dat
.

(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SkyTel"="SkyTel.EXE" [2006-05-17 2879488]
"RTHDCPL"="RTHDCPL.EXE" [2006-11-15 16270848]
"NvCplDaemon"="h:\windows\system32\NvCpl.dll" [2007-06-28 8466432]
"nwiz"="nwiz.exe" [2007-06-28 1626112]
"NvMediaCenter"="h:\windows\system32\NvMcTray.dll" [2007-06-28 81920]
"Adobe Reader Speed Launcher"="h:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-10-03 35696]
"Adobe ARM"="h:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2009-09-04 935288]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoWelcomeScreen"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"h:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 avgagent;AVG9 Remote Support Service (AvgAgent);avgagent.exe /srvfsys --> avgagent.exe [?]
R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller;h:\windows\system32\drivers\atl01_xp.sys [21.11.2007 22:27 35840]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
.
.
------- Doplňkový sken -------
.
IE: e&xportovat do aplikace microsoft excel - h:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-04-20 20:05
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(2996)
h:\windows\system32\WPDShServiceObj.dll
h:\windows\system32\PortableDeviceTypes.dll
h:\windows\system32\PortableDeviceApi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
h:\windows\avgagent.exe
h:\windows\system32\nvsvc32.exe
h:\windows\system32\wscntfy.exe
h:\windows\RTHDCPL.EXE
h:\windows\system32\RUNDLL32.EXE
.
**************************************************************************
.
Celkový čas: 2010-04-20 20:11:43 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-04-20 18:11
ComboFix2.txt 2010-04-20 17:32

Před spuštěním: Volných bajtů: 89 813 897 216
Po spuštění: Volných bajtů: 89 731 022 848

- - End Of File - - AD4070D2A0B627396F0577E12F6CC77E

Soubor services.exe přijatý 2010.04.20 18:14:41 (UTC)Antivirus Verze Poslední aktualizace Výsledek
a-squared 4.5.0.50 2010.04.20 -
AhnLab-V3 5.0.0.2 2010.04.20 -
AntiVir 7.10.6.145 2010.04.20 -
Antiy-AVL 2.0.3.7 2010.04.19 -
Authentium 5.2.0.5 2010.04.20 -
Avast 4.8.1351.0 2010.04.20 -
Avast5 5.0.332.0 2010.04.20 -
AVG 9.0.0.787 2010.04.20 -
BitDefender 7.2 2010.04.20 -
CAT-QuickHeal 10.00 2010.04.20 Trojan.Agent.ATV
ClamAV 0.96.0.3-git 2010.04.20 -
Comodo 4653 2010.04.20 -
DrWeb 5.0.2.03300 2010.04.20 -
eSafe 7.0.17.0 2010.04.18 -
eTrust-Vet 35.2.7436 2010.04.20 -
F-Prot 4.5.1.85 2010.04.20 -
F-Secure 9.0.15370.0 2010.04.20 -
Fortinet 4.0.14.0 2010.04.20 -
GData 19 2010.04.20 -
Ikarus T3.1.1.80.0 2010.04.20 -
Jiangmin 13.0.900 2010.04.20 -
Kaspersky 7.0.0.125 2010.04.20 -
McAfee 5.400.0.1158 2010.04.20 -
McAfee-GW-Edition 6.8.5 2010.04.20 -
Microsoft 1.5703 2010.04.20 -
NOD32 5045 2010.04.20 -
Norman 6.04.11 2010.04.20 -
nProtect 2010-04-20.01 2010.04.20 -
Panda 10.0.2.7 2010.04.20 -
PCTools 7.0.3.5 2010.04.20 -
Prevx 3.0 2010.04.20 -
Rising 22.44.01.03 2010.04.20 -
Sophos 4.52.0 2010.04.20 -
Sunbelt 6199 2010.04.20 -
Symantec 20091.2.0.41 2010.04.20 -
TheHacker 6.5.2.0.265 2010.04.20 -
TrendMicro 9.120.0.1004 2010.04.20 -
TrendMicro-HouseCall 9.120.0.1004 2010.04.20 -
VBA32 3.12.12.4 2010.04.19 -
ViRobot 2010.4.19.2284 2010.04.20 -
VirusBuster 5.0.27.0 2010.04.20 -

Rozšiřující informace
File size: 111104 bytes
MD5...: 9ef697af07bb8dd82c3b02ca953a95b7
SHA1..: 7f9ec136746a6d49ca34d6e6909222076b074cc0
SHA256: f26033e660b8ff1bdb9e88cda205ce128c03138af6bec05db3cf2d95c16d86c6
ssdeep: 1536:Hyj12id0hKy+k1DQ+7Gpj3r4M7TGfwG1K9IJvydlnk4pCxvZbD:HyG1DQgG pj3Cf1K9IBydlk+cvFD 
PEiD..: -
PEInfo: PE Structure information ( base data ) entrypointaddress.: 0xbf63 timedatestamp.....: 0x498c1ac8 (Fri Feb 06 11:11:04 2009) machinetype.......: 0x14c (I386) ( 3 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x196a5 0x19800 6.23 bf32e1a6f4363e9fffea31d970bdebf2 .data 0x1b000 0xa38 0xc00 1.78 817a9a6979796d656eb64e994df5db0a .rsrc 0x1c000 0x810 0xa00 4.03 9c077f09c85c35a0f56507998053e0a0 ( 10 imports ) > ADVAPI32.dll: AllocateLocallyUniqueId, RegOpenKeyW, ConvertSidToStringSidW, AllocateAndInitializeSid, FreeSid, LogonUserExW, LsaStorePrivateData, LsaLookupNames, AddAccessAllowedAce, SetTokenInformation, StartServiceCtrlDispatcherW, RegisterServiceCtrlHandlerW, SetServiceStatus, SystemFunction029, SystemFunction005, CheckTokenMembership, LsaQueryInformationPolicy, OpenThreadToken, RegNotifyChangeKeyValue, InitializeSecurityDescriptor, SetSecurityDescriptorOwner, GetSecurityDescriptorDacl, GetLengthSid, CopySid, InitializeAcl, AddAce, SetSecurityDescriptorDacl, LsaOpenPolicy, LsaLookupSids, LsaFreeMemory, LsaClose, GetTokenInformation, RegCloseKey, RegQueryValueExW, RegOpenKeyExW, InitiateSystemShutdownW, RevertToSelf, CreateProcessAsUserW, ImpersonateLoggedOnUser > KERNEL32.dll: GetCurrentThread, CreateMutexW, ReleaseMutex, ExitThread, FormatMessageW, lstrcmpiW, SetProcessShutdownParameters, DelayLoadFailureHook, RaiseException, GetExitCodeThread, SetConsoleCtrlHandler, SetErrorMode, SetUnhandledExceptionFilter, LoadLibraryA, QueryPerformanceCounter, GetCurrentThreadId, GetCurrentProcess, UnhandledExceptionFilter, GetModuleHandleA, OpenEventW, LocalAlloc, LocalFree, Sleep, LeaveCriticalSection, EnterCriticalSection, SetLastError, CloseHandle, CreateThread, GetLastError, CreateProcessW, ExpandEnvironmentStringsW, InitializeCriticalSection, HeapAlloc, HeapFree, TerminateProcess, WaitForSingleObject, HeapCreate, FreeLibrary, GetProcAddress, GetModuleHandleExW, InterlockedCompareExchange, CreateNamedPipeW, ReadFile, CancelIo, GetOverlappedResult, WaitForMultipleObjects, ConnectNamedPipe, TransactNamedPipe, WriteFile, GetTickCount, GetSystemTimeAsFileTime, GetModuleHandleW, GetComputerNameW, CreateEventW, SetEvent, ResetEvent, DeviceIoControl, CreateFileW, ResumeThread, GetCurrentProcessId, LoadLibraryW, GetDriveTypeW > msvcrt.dll: _itow, wcsrchr, time, _except_handler3, memmove, wcschr, _c_exit, _exit, wcsncmp, _XcptFilter, _cexit, exit, _wcsnicmp, __getmainargs, _initterm, __setusermatherr, _adjust_fdiv, __p__commode, __p__fmode, __set_app_type, _controlfp, _wtol, wcscpy, wcscat, wcsncpy, _wcsicmp, __initenv, wcslen, wcscspn, _ultow > NCObjAPI.DLL: WmiCreateObjectWithFormat, WmiEventSourceConnect, WmiSetAndCommitObject > ntdll.dll: RtlCreateSecurityDescriptor, RtlAddAccessAllowedAce, RtlCreateAcl, NtCreateKey, NtQueryValueKey, NtSetValueKey, NtDeleteValueKey, NtEnumerateKey, NtQuerySecurityObject, RtlFreeHeap, NtOpenKey, NtDeleteKey, RtlSetControlSecurityDescriptor, RtlValidSecurityDescriptor, RtlLengthSecurityDescriptor, NtPrivilegeObjectAuditAlarm, NtPrivilegeCheck, NtOpenThreadToken, NtAccessCheckAndAuditAlarm, NtSetInformationThread, NtAdjustPrivilegesToken, NtDuplicateToken, NtOpenProcessToken, RtlSetDaclSecurityDescriptor, RtlQuerySecurityObject, RtlSetSecurityObject, RtlValidRelativeSecurityDescriptor, RtlMapGenericMask, RtlCopyUnicodeString, NtSetInformationFile, NtQueryInformationFile, RtlAppendUnicodeStringToString, RtlAppendUnicodeToString, NtWaitForSingleObject, NtQueryDirectoryFile, NtDeleteFile, NtSetInformationProcess, RtlUnhandledExceptionFilter, NtSetEvent, RtlGetAce, RtlQueryInformationAcl, RtlGetDaclSecurityDescriptor, RtlAllocateHeap, RtlConvertSharedToExclusive, RtlConvertExclusiveToShared, RtlRegisterWait, RtlGetNtProductType, RtlEqualUnicodeString, RtlLengthSid, RtlCopySid, NtOpenDirectoryObject, NtQueryDirectoryObject, RtlUnicodeStringToAnsiString, RtlInitAnsiString, RtlAnsiStringToUnicodeString, RtlNewSecurityObject, RtlAddAce, RtlSetOwnerSecurityDescriptor, RtlSetGroupSecurityDescriptor, RtlSetSaclSecurityDescriptor, RtlSubAuthorityCountSid, RtlCompareUnicodeString, NtLoadDriver, NtUnloadDriver, RtlExpandEnvironmentStrings_U, RtlAdjustPrivilege, NtFlushKey, NtOpenFile, RtlDosPathNameToNtPathName_U, NtOpenSymbolicLinkObject, NtQuerySymbolicLinkObject, RtlFreeUnicodeString, RtlAreAllAccessesGranted, NtDeleteObjectAuditAlarm, NtCloseObjectAuditAlarm, RtlQueueWorkItem, RtlCopyLuid, RtlDeregisterWait, RtlReleaseResource, RtlAcquireResourceExclusive, RtlAcquireResourceShared, RtlInitializeResource, RtlDeleteSecurityObject, RtlLockBootStatusData, RtlGetSetBootStatusData, RtlUnlockBootStatusData, NtInitializeRegistry, NtQueryKey, NtClose, RtlInitUnicodeString, NtSetSystemEnvironmentValue, RtlNtStatusToDosError, NtShutdownSystem, NtQueryInformationToken, RtlMakeSelfRelativeSD, RtlInitializeSid, RtlLengthRequiredSid, RtlSubAuthoritySid, NtSetSecurityObject > RPCRT4.dll: RpcServerRegisterAuthInfoW, RpcBindingFree, RpcEpResolveBinding, RpcBindingFromStringBindingW, RpcStringBindingComposeW, NdrClientCall2, RpcAsyncCompleteCall, RpcAsyncInitializeHandle, NdrAsyncServerCall, RpcServerListen, RpcMgmtStopServerListening, RpcMgmtWaitServerListen, RpcServerUnregisterIf, NdrAsyncClientCall, NdrServerCall2, I_RpcBindingIsClientLocal, RpcRevertToSelf, I_RpcMapWin32Status, RpcImpersonateClient, RpcStringBindingParseW, RpcStringFreeW, RpcBindingToStringBindingW, RpcServerRegisterIfEx, RpcServerUseProtseqEpW, RpcServerRegisterIf > SCESRV.dll: ScesrvInitializeServer, ScesrvTerminateServer > umpnpmgr.dll: RegisterScmCallback, PNP_SetActiveService, PNP_GetDeviceRegProp, PNP_GetDeviceListSize, PNP_GetDeviceList, PNP_HwProfFlags, RegisterServiceNotification, DeleteServicePlugPlayRegKeys > USER32.dll: LoadStringW, wsprintfW, BroadcastSystemMessageW, MessageBoxW, RegisterServicesProcess > USERENV.dll: UnloadUserProfile, CreateEnvironmentBlock, LoadUserProfileW, DestroyEnvironmentBlock ( 0 exports ) 
RDS...: NSRL Reference Data Set -
pdfid.: -
trid..: Win32 Executable Generic (42.3%) Win32 Dynamic Link Library (generic) (37.6%) Generic Win/DOS Executable (9.9%) DOS Executable Generic (9.9%) Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
sigcheck: publisher....: Microsoft Corporation copyright....: (c) Microsoft Corporation. V_echna pr_va vyhrazena. product......: Opera_n_ syst_m Microsoft_ Windows_ description..: Services and Controller app original name: services.exe internal name: services.exe file version.: 5.1.2600.5755 (xpsp_sp3_gdr.090206-1234) comments.....: n/a signers......: - signing date.: - verified.....: Unsigned

#20 Příspěvek od **Caroprd111** » 20 dub 2010 19:18

Pokud nemáte, přesuňte Combofix na plochu

Otevřete si Poznámkový blok a zkopírujte do něj text z bílého okénka.

Kód: Vybrat vše

Restore::
H:\WINDOWS\system32\services.exe

Uložte Vámi vytvořený TXT soubor jako CFScript.txt na plochu
Po uložení uchopte vámi vytvořený skript levým myšítkem a přesuňte ho nad ikonu Combofixu, kde ho upustíte:
Po aplikaci na Vás vypadne další log,vložte ho sem

Může se stát, že po aplikaci skriptu a restartu Windows nenaběhnou, v tom případě znovu restartujte a přitom mačkejte F8, pak zvolte Poslední známou funkční konfiguraci

Mifen · #21 Příspěvek od **Mifen** » 20 dub 2010 19:37

ComboFix 10-04-19.08 - administrator 20.04.2010 20:22:06.3.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.2047.1633 [GMT 2:00]
Spuštěný z: h:\documents and settings\Administrator.EP9\Plocha\ComboFix.exe
Použité ovládací přepínače :: h:\documents and settings\Administrator.EP9\Plocha\CFScript.txt
* Vytvořen nový Bod Obnovení
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

Nakažená kopie h:\windows\system32\services.exe byla nalezena a vyléčena.
Obnovena kopie z - h:\windows\ERDNT\cache\services.exe

.
((((((((((((((((((((((((( Soubory vytvořené od 2010-03-20 do 2010-04-20 )))))))))))))))))))))))))))))))
.

2010-04-20 16:07 . 2010-04-20 16:07 -------- d-----w- H:\_OTL
2010-04-20 14:31 . 2010-04-20 14:31 -------- d-----w- H:\rsit
2010-04-20 14:31 . 2010-04-20 14:31 -------- d-----w- h:\program files\trend micro
2010-04-13 06:58 . 2010-04-13 07:04 -------- d-----w- H:\$AVG

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-13 06:57 . 2008-11-10 16:24 -------- d-----w- h:\program files\AVG
2010-04-12 14:58 . 2008-11-07 13:38 791904 ----a-w- h:\windows\avgagent.exe
2010-03-29 06:36 . 2007-08-02 12:00 71746 ----a-w- h:\windows\system32\perfc005.dat
2010-03-29 06:36 . 2007-08-02 12:00 398316 ----a-w- h:\windows\system32\perfh005.dat
.

(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SkyTel"="SkyTel.EXE" [2006-05-17 2879488]
"RTHDCPL"="RTHDCPL.EXE" [2006-11-15 16270848]
"NvCplDaemon"="h:\windows\system32\NvCpl.dll" [2007-06-28 8466432]
"nwiz"="nwiz.exe" [2007-06-28 1626112]
"NvMediaCenter"="h:\windows\system32\NvMcTray.dll" [2007-06-28 81920]
"Adobe Reader Speed Launcher"="h:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-10-03 35696]
"Adobe ARM"="h:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2009-09-04 935288]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoWelcomeScreen"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"h:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 avgagent;AVG9 Remote Support Service (AvgAgent);avgagent.exe /srvfsys --> avgagent.exe [?]
R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller;h:\windows\system32\drivers\atl01_xp.sys [21.11.2007 22:27 35840]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
.
.
------- Doplňkový sken -------
.
IE: e&xportovat do aplikace microsoft excel - h:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-04-20 20:29
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'explorer.exe'(276)
h:\windows\system32\WPDShServiceObj.dll
h:\windows\system32\PortableDeviceTypes.dll
h:\windows\system32\PortableDeviceApi.dll
.
------------------------ Jiné spuštené procesy ------------------------
.
h:\windows\avgagent.exe
h:\windows\system32\nvsvc32.exe
h:\windows\system32\wscntfy.exe
h:\windows\RTHDCPL.EXE
h:\windows\system32\RUNDLL32.EXE
.
**************************************************************************
.
Celkový čas: 2010-04-20 20:35:28 - počítač byl restartován
ComboFix-quarantined-files.txt 2010-04-20 18:35
ComboFix2.txt 2010-04-20 18:11
ComboFix3.txt 2010-04-20 17:32

Před spuštěním: Volných bajtů: 89 710 174 208
Po spuštění: Volných bajtů: 89 678 778 368

- - End Of File - - D2914E06FCE84F50208FF8648485D701

#22 Příspěvek od **Caroprd111** » 20 dub 2010 19:41

Odinstalujte všechny emulátory virtuálních mechanik.

Obrázek

Stáhněte SPTD http://www.duplexsecure.com/en/downloads

Vyberte verzi podle svého operačního systému (64 & 32b). Uložte na plochu a spusťte.
zvolte možnost Uninstall a restartujte PC.

Stáhněte a spusťte http://www.jpshortstuff.247fixes.com/Defogger.exe

Klikněte na "Disable" a restartujte PC.

Stáhněte MBR na plochu http://www2.gmer.net/mbr/mbr.exe

Obrázek

Start > Spustit (Win + R)

Vyskočí okénko, zkopírujte do něj:

Kód: Vybrat vše

"%userprofile%\plocha\mbr" -t

Klikněte na OK

Vytvoří se log s názvem mbr.log, vložte ho sem.

Dejte log z Gmer http://www.viry.cz/forum/viewtopic.php?f=29&t=62878

Mifen · #23 Příspěvek od **Mifen** » 20 dub 2010 19:46

sptd - nedá mi možnost uninstal. Pouze instal

#24 Příspěvek od **Caroprd111** » 20 dub 2010 19:48

V tom případě SPTD vynechte a pokračujte dalšími kroky.

Mifen · #25 Příspěvek od **Mifen** » 20 dub 2010 20:19

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

scan gmer ještě jede

#26 Příspěvek od **Caroprd111** » 20 dub 2010 20:22

Mifen · #27 Příspěvek od **Mifen** » 20 dub 2010 20:44

během scanu gmer to spadlo do modré. V localsetings je jedem adresář kde jsou desetiitisíce souborů . Navíc po spuštěni gmer to neudělá první rychlý scan

#28 Příspěvek od **Caroprd111** » 21 dub 2010 04:54

Zkuste Gmer přejmenovat (cokoliv.com) a spustit v nouzovém režimu.

Mifen · #29 Příspěvek od **Mifen** » 21 dub 2010 15:28

Dobrý den

Potřeboval jsem,aby PC dopoledne jelo. Nějak se mi nakonec podařilo vir z PC dostat. Ale pro jistotu,případně pro vyčištění PC celkově bych poprosil znovu o kontrolu logu

Mifen · #30 Příspěvek od **Mifen** » 21 dub 2010 15:30

Logfile of random's system information tool 1.06 (written by random/random)
Run by administrator at 2010-04-21 16:29:15
Systém Microsoft Windows XP Professional Service Pack 3
System drive H: has 83 GB (83%) free of 100 GB
Total RAM: 2047 MB (75% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:29:18, on 21.4.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
H:\WINDOWS\System32\smss.exe
H:\WINDOWS\system32\winlogon.exe
H:\WINDOWS\system32\services.exe
H:\WINDOWS\system32\lsass.exe
H:\WINDOWS\system32\svchost.exe
H:\WINDOWS\System32\svchost.exe
H:\WINDOWS\system32\svchost.exe
H:\WINDOWS\system32\spoolsv.exe
H:\Program Files\AVG\AVG9\avgwdsvc.exe
H:\WINDOWS\avgagent.exe
H:\Program Files\AVG\AVG9\avgchsvx.exe
H:\Program Files\AVG\AVG9\avgrsx.exe
H:\WINDOWS\System32\svchost.exe
H:\WINDOWS\system32\nvsvc32.exe
H:\Program Files\AVG\AVG9\avgcsrvx.exe
H:\WINDOWS\System32\svchost.exe
H:\Program Files\AVG\AVG9\avgam.exe
H:\Program Files\AVG\AVG9\avgnsx.exe
H:\Program Files\AVG\AVG9\avgcsrvx.exe
H:\WINDOWS\Explorer.EXE
H:\WINDOWS\RTHDCPL.EXE
H:\WINDOWS\system32\RUNDLL32.EXE
H:\PROGRA~1\AVG\AVG9\avgtray.exe
H:\WINDOWS\system32\ctfmon.exe
H:\Program Files\Internet Explorer\iexplore.exe
H:\Program Files\Internet Explorer\iexplore.exe
H:\Documents and Settings\Administrator.EP9\Plocha\RSIT.exe
H:\Program Files\trend micro\administrator.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHelperStub - {18df081c-e8ad-4283-a596-fa578c2ebdc3} - H:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - H:\Program Files\AVG\AVG9\avgssie.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE H:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE H:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "H:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "H:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [AVG9_TRAY] H:\PROGRA~1\AVG\AVG9\avgtray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] H:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] H:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] H:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] H:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] H:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: e&xportovat do aplikace microsoft excel - res://H:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - H:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - H:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - H:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - H:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - H:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = ep9.local
O17 - HKLM\Software\..\Telephony: DomainName = ep9.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ep9.local
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - H:\Program Files\AVG\AVG9\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - H:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: AVG WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - H:\Program Files\AVG\AVG9\avgwdsvc.exe
O23 - Service: AVG9 Remote Support Service (AvgAgent) (avgagent) - Unknown owner - avgagent.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - H:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - H:\WINDOWS\system32\nvsvc32.exe

--
End of file - 4955 bytes

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{18df081c-e8ad-4283-a596-fa578c2ebdc3}]
Adobe PDF Link Helper - H:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll [2009-02-27 75128]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3CA2F312-6F6E-4B53-A66E-4E65E497C8C0}]
AVG Safe Search - H:\Program Files\AVG\AVG9\avgssie.dll [2010-04-20 1615200]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"SkyTel"=H:\WINDOWS\SkyTel.EXE [2006-05-17 2879488]
"RTHDCPL"=H:\WINDOWS\RTHDCPL.EXE [2006-11-15 16270848]
"Alcmtr"=H:\WINDOWS\ALCMTR.EXE [2005-05-04 69632]
"NvCplDaemon"=H:\WINDOWS\system32\NvCpl.dll [2007-06-28 8466432]
"nwiz"=nwiz.exe /install []
"NvMediaCenter"=H:\WINDOWS\system32\NvMcTray.dll [2007-06-28 81920]
"Adobe Reader Speed Launcher"=H:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe [2009-10-03 35696]
"Adobe ARM"=H:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe [2009-09-04 935288]
"AVG9_TRAY"=H:\PROGRA~1\AVG\AVG9\avgtray.exe [2010-04-20 2064736]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=H:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\avgrsstarter]
H:\WINDOWS\system32\avgrsstx.dll [2010-04-20 12464]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]
H:\WINDOWS\system32\WgaLogon.dll [2009-03-10 265096]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - H:\WINDOWS\system32\WPDShServiceObj.dll [2006-10-18 133632]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=145

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"HonorAutoRunSetting"=
"NoWelcomeScreen"=

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"H:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE"="H:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"H:\WINDOWS\avgagent.exe"="H:\WINDOWS\avgagent.exe:*:Enabled:avgagent.exe"
"H:\Program Files\AVG\AVG8\avgam.exe"="H:\Program Files\AVG\AVG8\avgam.exe:*:Enabled:avgam.exe"
"H:\Program Files\AVG\AVG8\avgupd.exe"="H:\Program Files\AVG\AVG8\avgupd.exe:*:Enabled:avgupd.exe"
"H:\Program Files\AVG\AVG8\avgnsx.exe"="H:\Program Files\AVG\AVG8\avgnsx.exe:*:Enabled:avgnsx.exe"
"H:\Program Files\NetMeeting\conf.exe"="H:\Program Files\NetMeeting\conf.exe:*:Enabled:Windows® NetMeeting®"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"H:\Program Files\AVG\AVG9\avgam.exe"="H:\Program Files\AVG\AVG9\avgam.exe:*:Enabled:avgam.exe"
"H:\Program Files\AVG\AVG9\avgdiagex.exe"="H:\Program Files\AVG\AVG9\avgdiagex.exe:*:Enabled:avgdiagex.exe"
"H:\Program Files\AVG\AVG9\avgupd.exe"="H:\Program Files\AVG\AVG9\avgupd.exe:*:Enabled:avgupd.exe"
"H:\Program Files\AVG\AVG9\avgnsx.exe"="H:\Program Files\AVG\AVG9\avgnsx.exe:*:Enabled:avgnsx.exe"

======List of files/folders created in the last 1 months======

2010-04-21 07:47:18 ----HDC---- H:\WINDOWS\$NtUninstallKB971513$
2010-04-21 07:46:58 ----HDC---- H:\WINDOWS\$NtUninstallKB971737$
2010-04-21 07:46:52 ----HDC---- H:\WINDOWS\$NtUninstallKB970430$
2010-04-21 07:46:46 ----HDC---- H:\WINDOWS\$NtUninstallKB943729$
2010-04-21 07:46:17 ----D---- H:\WINDOWS\ie8updates
2010-04-21 07:45:52 ----D---- H:\WINDOWS\WBEM
2010-04-21 07:45:10 ----HDC---- H:\WINDOWS\ie8
2010-04-21 07:43:17 ----A---- H:\WINDOWS\imsins.BAK
2010-04-21 07:43:13 ----HDC---- H:\WINDOWS\$NtUninstallbasecsp$
2010-04-21 07:41:58 ----D---- H:\WINDOWS\system32\URTTEMP
2010-04-21 03:15:32 ----HDC---- H:\WINDOWS\$NtUninstallKB978262$
2010-04-21 03:15:27 ----HDC---- H:\WINDOWS\$NtUninstallKB960859$
2010-04-21 03:15:01 ----HDC---- H:\WINDOWS\$NtUninstallKB971468$
2010-04-21 03:14:53 ----HDC---- H:\WINDOWS\$NtUninstallKB979683$
2010-04-21 03:14:46 ----HDC---- H:\WINDOWS\$NtUninstallKB958869$
2010-04-21 03:14:41 ----HDC---- H:\WINDOWS\$NtUninstallKB980232$
2010-04-21 03:14:36 ----HDC---- H:\WINDOWS\$NtUninstallKB955759$
2010-04-21 03:13:18 ----HDC---- H:\WINDOWS\$NtUninstallKB974318$
2010-04-21 03:13:13 ----HDC---- H:\WINDOWS\$NtUninstallKB969059$
2010-04-21 03:13:08 ----HDC---- H:\WINDOWS\$NtUninstallKB981349$
2010-04-21 03:13:03 ----HDC---- H:\WINDOWS\$NtUninstallKB968816_WM9$
2010-04-21 03:12:59 ----HDC---- H:\WINDOWS\$NtUninstallKB978037$
2010-04-21 03:12:55 ----HDC---- H:\WINDOWS\$NtUninstallKB975713$
2010-04-21 03:12:49 ----HDC---- H:\WINDOWS\$NtUninstallKB971657$
2010-04-21 03:12:44 ----HDC---- H:\WINDOWS\$NtUninstallKB978338$
2010-04-21 03:12:40 ----HDC---- H:\WINDOWS\$NtUninstallKB954155_WM9$
2010-04-21 03:12:37 ----HDC---- H:\WINDOWS\$NtUninstallKB972270$
2010-04-21 03:12:31 ----HDC---- H:\WINDOWS\$NtUninstallKB956744$
2010-04-21 03:12:26 ----HDC---- H:\WINDOWS\$NtUninstallKB974112$
2010-04-21 03:12:21 ----HDC---- H:\WINDOWS\$NtUninstallKB956844$
2010-04-21 03:12:02 ----HDC---- H:\WINDOWS\$NtUninstallKB961501$
2010-04-21 03:11:58 ----HDC---- H:\WINDOWS\$NtUninstallKB975561$
2010-04-21 03:11:53 ----HDC---- H:\WINDOWS\$NtUninstallKB973869$
2010-04-21 03:11:49 ----HDC---- H:\WINDOWS\$NtUninstallKB975025$
2010-04-21 03:11:43 ----HDC---- H:\WINDOWS\$NtUninstallKB974571$
2010-04-21 03:11:38 ----HDC---- H:\WINDOWS\$NtUninstallKB975560$
2010-04-21 03:11:30 ----HDC---- H:\WINDOWS\$NtUninstallKB973507$
2010-04-21 03:11:15 ----D---- H:\Program Files\MSXML 4.0
2010-04-21 03:11:08 ----HDC---- H:\WINDOWS\$NtUninstallKB977816$
2010-04-21 03:11:03 ----HDC---- H:\WINDOWS\$NtUninstallKB973687$
2010-04-21 03:10:24 ----HDC---- H:\WINDOWS\$NtUninstallKB980182$
2010-04-21 03:10:15 ----HDC---- H:\WINDOWS\$NtUninstallKB978601$
2010-04-21 03:05:58 ----HDC---- H:\WINDOWS\$NtUninstallKB973354$
2010-04-21 03:05:52 ----HDC---- H:\WINDOWS\$NtUninstallKB973904$
2010-04-21 03:04:01 ----HDC---- H:\WINDOWS\$NtUninstallKB973540_WM9$
2010-04-21 03:03:34 ----HDC---- H:\WINDOWS\$NtUninstallKB974392$
2010-04-21 03:03:02 ----HDC---- H:\WINDOWS\$NtUninstallKB977914$
2010-04-21 03:02:39 ----HDC---- H:\WINDOWS\$NtUninstallKB970238$
2010-04-21 03:02:34 ----HDC---- H:\WINDOWS\$NtUninstallKB979309$
2010-04-21 03:02:30 ----HDC---- H:\WINDOWS\$NtUninstallKB978706$
2010-04-21 03:02:26 ----HDC---- H:\WINDOWS\$NtUninstallKB973815$
2010-04-21 03:02:21 ----HDC---- H:\WINDOWS\$NtUninstallKB979306$
2010-04-21 03:01:27 ----HDC---- H:\WINDOWS\$NtUninstallKB971961$
2010-04-21 03:01:23 ----HDC---- H:\WINDOWS\$NtUninstallKB975467$
2010-04-21 03:01:17 ----HDC---- H:\WINDOWS\$NtUninstallKB968389$
2010-04-21 03:01:09 ----HDC---- H:\WINDOWS\$NtUninstallKB969947$
2010-04-21 00:28:41 ----HD---- H:\$AVG
2010-04-20 22:55:39 ----A---- H:\WINDOWS\system32\avgrsstx.dll
2010-04-20 22:31:54 ----SHD---- H:\RECYCLER
2010-04-20 22:31:05 ----D---- H:\Program Files\AVG
2010-04-20 21:44:32 ----D---- H:\RECYCLER(2)
2010-04-20 20:35:32 ----D---- H:\WINDOWS\temp
2010-04-20 20:35:28 ----A---- H:\ComboFix.txt
2010-04-20 19:14:39 ----A---- H:\Boot.bak
2010-04-20 19:14:35 ----D---- H:\cmdcons
2010-04-20 19:12:57 ----D---- H:\WINDOWS\ERDNT
2010-04-20 19:12:49 ----D---- H:\Qoobox
2010-04-20 18:07:46 ----D---- H:\_OTL
2010-04-20 16:31:18 ----D---- H:\rsit
2010-04-20 16:31:18 ----D---- H:\Program Files\trend micro
2010-04-13 08:57:36 ----D---- H:\Documents and Settings\All Users\Data aplikací\avg9
2010-04-13 08:55:37 ----AD---- H:\Documents and Settings\All Users\Data aplikací\Temp

======List of files/folders modified in the last 1 months======

2010-04-21 16:19:39 ----D---- H:\WINDOWS\Prefetch
2010-04-21 07:52:20 ----D---- H:\WINDOWS\system32
2010-04-21 07:52:19 ----A---- H:\WINDOWS\system32\PerfStringBackup.INI
2010-04-21 07:51:55 ----SD---- H:\Documents and Settings\Administrator.EP9\Data aplikací\Microsoft
2010-04-21 07:51:07 ----D---- H:\WINDOWS
2010-04-21 07:48:34 ----RSHDC---- H:\WINDOWS\system32\dllcache
2010-04-21 07:48:34 ----D---- H:\WINDOWS\system32\cs-cz
2010-04-21 07:48:33 ----HD---- H:\WINDOWS\inf
2010-04-21 07:48:33 ----D---- H:\WINDOWS\Help
2010-04-21 07:48:33 ----D---- H:\Program Files\Internet Explorer
2010-04-21 07:47:59 ----A---- H:\WINDOWS\SchedLgU.Txt
2010-04-21 07:47:17 ----D---- H:\Config.Msi
2010-04-21 07:47:15 ----SHD---- H:\WINDOWS\Installer
2010-04-21 07:47:12 ----D---- H:\Documents and Settings\All Users\Data aplikací\Microsoft Help
2010-04-21 07:46:54 ----D---- H:\WINDOWS\system32\drivers
2010-04-21 07:46:48 ----D---- H:\WINDOWS\system32\wbem
2010-04-21 07:46:26 ----HD---- H:\WINDOWS\$hf_mig$
2010-04-21 07:45:46 ----D---- H:\WINDOWS\Media
2010-04-21 07:44:07 ----D---- H:\WINDOWS\Debug
2010-04-21 07:43:18 ----D---- H:\WINDOWS\security
2010-04-21 07:43:11 ----RSD---- H:\WINDOWS\assembly
2010-04-21 07:42:42 ----D---- H:\WINDOWS\Registration
2010-04-21 07:41:11 ----D---- H:\WINDOWS\system32\CatRoot2
2010-04-21 07:36:36 ----D---- H:\WINDOWS\SoftwareDistribution
2010-04-21 07:03:08 ----SHD---- H:\WINDOWS\CSC
2010-04-21 03:32:04 ----D---- H:\WINDOWS\AppPatch
2010-04-21 03:14:46 ----D---- H:\WINDOWS\WinSxS
2010-04-21 03:11:59 ----D---- H:\Program Files\Movie Maker
2010-04-21 03:11:15 ----RD---- H:\Program Files
2010-04-21 03:09:06 ----RSD---- H:\WINDOWS\Fonts
2010-04-21 03:08:59 ----D---- H:\Program Files\Common Files\Microsoft Shared
2010-04-21 03:08:41 ----D---- H:\Program Files\Microsoft Works
2010-04-21 03:08:36 ----D---- H:\WINDOWS\Microsoft.NET
2010-04-21 03:07:22 ----D---- H:\Program Files\Common Files\System
2010-04-21 03:07:22 ----A---- H:\WINDOWS\win.ini
2010-04-21 03:05:59 ----D---- H:\Program Files\Outlook Express
2010-04-20 23:30:40 ----A---- H:\WINDOWS\avgagent.ini
2010-04-20 22:35:33 ----D---- H:\WINDOWS\system32\CatRoot
2010-04-20 22:32:49 ----D---- H:\WINDOWS\system32\config
2010-04-20 22:30:06 ----D---- H:\WINDOWS\system32\Restore
2010-04-20 22:16:32 ----D---- H:\Program Files\Common Files
2010-04-20 22:07:29 ----D---- H:\WINDOWS\Minidump
2010-04-20 22:06:14 ----SD---- H:\Documents and Settings\All Users\Data aplikací\Microsoft
2010-04-20 20:29:14 ----A---- H:\WINDOWS\system.ini
2010-04-20 19:32:38 ----SD---- H:\WINDOWS\Tasks
2010-04-20 18:13:06 ----SHD---- H:\System Volume Information
2010-04-12 16:58:15 ----A---- H:\WINDOWS\avgagent.exe
2010-04-06 10:52:56 ----A---- H:\WINDOWS\system32\MRT.exe

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 AvgLdx86;AVG AVI Loader Driver x86; H:\WINDOWS\System32\Drivers\avgldx86.sys [2010-04-20 216200]
R1 AvgMfx86;AVG On-access Scanner Minifilter Driver x86; H:\WINDOWS\System32\Drivers\avgmfx86.sys [2010-04-20 29512]
R1 AvgTdiX;AVG Network Redirector; H:\WINDOWS\System32\Drivers\avgtdix.sys [2010-04-20 242896]
R1 intelppm;Řadič procesoru Intel; H:\WINDOWS\system32\DRIVERS\intelppm.sys [2008-04-14 40192]
R1 WS2IFSL;Podpůrné prostředí zprostředkovatele služeb Windows Socket 2.0 bez podpory IFS; H:\WINDOWS\System32\drivers\ws2ifsl.sys [2007-08-02 12032]
R3 Arp1394;Protokol 1394 ARP Client; H:\WINDOWS\system32\DRIVERS\arp1394.sys [2008-04-13 60800]
R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller; H:\WINDOWS\system32\DRIVERS\atl01_xp.sys [2006-10-31 35840]
R3 HDAudBus;Ovladač Microsoft UAA pro sběrnici High Definition Audio; H:\WINDOWS\system32\DRIVERS\HDAudBus.sys [2008-04-13 144384]
R3 IntcAzAudAddService;Service for Realtek HD Audio (WDM); H:\WINDOWS\system32\drivers\RtkHDAud.sys [2006-11-16 4225920]
R3 MTsensor;ATK0110 ACPI UTILITY; H:\WINDOWS\system32\DRIVERS\ASACPI.sys [2004-08-13 5810]
R3 NIC1394;1394 Net Driver; H:\WINDOWS\system32\DRIVERS\nic1394.sys [2008-04-13 61824]
R3 nv;nv; H:\WINDOWS\system32\DRIVERS\nv4_mini.sys [2007-06-28 6807328]
R3 usbehci;Ovladač miniportu rozšířeného radiče hostitele Microsoft USB 2.0; H:\WINDOWS\system32\DRIVERS\usbehci.sys [2008-04-13 30208]
R3 usbhub;Rozbočovač umožnující USB2; H:\WINDOWS\system32\DRIVERS\usbhub.sys [2008-04-13 59520]
R3 usbstor;Ovladač velkokapacitního paměťového zařízení USB; H:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368]
R3 usbuhci;Ovladač Microsoft univerzálního hostitelského řadiče USB od společnosti Microsoft; H:\WINDOWS\system32\DRIVERS\usbuhci.sys [2008-04-13 20608]
S1 a129c789;a129c789; H:\WINDOWS\System32\drivers\a129c789.sys []
S3 usbccgp;Obecný nadřazený ovladač Microsoft USB; H:\WINDOWS\system32\DRIVERS\usbccgp.sys [2008-04-13 32128]
S3 usbprint;Třída USB Printer; H:\WINDOWS\system32\DRIVERS\usbprint.sys [2008-04-13 25856]
S3 WpdUsb;WpdUsb; H:\WINDOWS\system32\DRIVERS\wpdusb.sys [2006-10-18 38528]
S3 WudfRd;Windows Driver Foundation - User-mode Driver Framework Reflector; H:\WINDOWS\system32\DRIVERS\wudfrd.sys [2006-09-28 82944]
S4 IntelIde;IntelIde; H:\WINDOWS\system32\drivers\IntelIde.sys []

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 avg9wd;AVG WatchDog; H:\Program Files\AVG\AVG9\avgwdsvc.exe [2010-04-20 308064]
R2 avgagent;AVG9 Remote Support Service (AvgAgent); avgagent.exe /srvfsys []
R2 Net Driver HPZ12;Net Driver HPZ12; H:\WINDOWS\System32\svchost.exe [2008-04-14 14336]
R2 NVSvc;NVIDIA Display Driver Service; H:\WINDOWS\system32\nvsvc32.exe [2007-06-28 155716]
R2 Pml Driver HPZ12;Pml Driver HPZ12; H:\WINDOWS\System32\svchost.exe [2008-04-14 14336]
R2 WudfSvc;Windows Driver Foundation - User-mode Driver Framework; H:\WINDOWS\system32\svchost.exe [2008-04-14 14336]
S3 aspnet_state;ASP.NET State Service; H:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2007-10-24 33800]
S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; H:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2007-10-24 70144]
S3 IDriverT;InstallDriver Table Manager; H:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe [2005-04-04 69632]
S3 odserv;Microsoft Office Diagnostics Service; H:\Program Files\Common Files\Microsoft Shared\OFFICE12\ODSERV.EXE [2008-11-04 441712]
S3 ose;Office Source Engine; H:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2006-10-26 145184]
S3 WMPNetworkSvc;Služba Windows Media Player Network Sharing; H:\Program Files\Windows Media Player\WMPNetwk.exe [2007-01-05 913920]

-----------------EOF-----------------

VIRY.CZ

rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m

Re: rustock.m